GLSA-201601-01：OpenSSH：多個弱點

high Nessus Plugin ID 87985

語系：

概要

遠端 Gentoo 主機缺少一個或多個與安全性相關的修補程式。

說明

遠端主機受到 GLSA-201601-01 中所述的弱點影響 (OpenSSH：多個弱點)

Qualys 已經報告 OpenSSH 用戶端中包含的「roaming」程式碼有兩個問題，其可提供未記錄的實驗性支援，用於恢復 SSH 連線。OpenSSH 用戶端可能受到誘騙而向惡意伺服器洩漏其部分記憶體。此外，惡意伺服器也可能惡意利用一個緩衝區溢位，但其惡意利用需要非預設的選項，而且其影響程度已經因為另一個錯誤而減輕。
影響：

遠端攻擊者可引誘使用者連線至特製的 OpenSSH 伺服器，進而可能導致洩漏使用者的私密金鑰。建議擁有未受複雜密碼保護的私密金鑰的使用者，在已經連線至不完全信任的 SSH 伺服器時產生新的金鑰。
請注意，這不需要特殊組態就容易受到影響，因為用戶端上的漫遊功能已經預設啟用。
因應措施：

可以透過停用漫遊程式碼來解決這個問題。若要這樣做，請將「UseRoaming no」新增到 SSH 用戶端組態，或在命令行中指定 “-o ‘UseRoaming no’”。