在 Debian LTS (squeeze) 中，openssh 1:5.5p1-6+squeeze7 內 CVE-2015-5600[1] 的修正會破壞基於鍵盤互動方式的驗證機制。感謝 Colin Watson 注意到此問題。

修正 CVE-2015-5600 的修補程式將「devices_done」欄位引入 KbdintAuthctxt 結構，但並未初始化 kbdint_alloc() 函式中的欄位。在 Linux 中，這會導致該欄位填入垃圾資料。若使用鍵盤互動驗證，這會造成隨機登入失敗。

將此 openssh 1:5.5p1-6+squeeze7 上傳到 Debian LTS (squeeze)，會新增「devices_done」欄位初始化，隨附於現有的初始化程式碼。

若使用 OpenSSH on Debian squeeze(-lts) 系統的使用者目前是採用鍵盤互動模式驗證機制，建議將 OpenSSH 升級至 1:5.5p1-6+squeeze7。

[1] https://lists.debian.org/debian-lts-announce/2015/08/msg00001.html

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-288-2：openssh 迴歸更新

high Nessus Plugin ID 85278

找不到變更記錄