Introduzione

Il team di ricerca sulle minacce di Qualys (TRU) ha recentemente scoperto una vulnerabilità critica di esecuzione remota di codice non autenticata (RCE) nel server OpenSSH (sshd) sui sistemi Linux basati su glibc. Questa vulnerabilità, identificata come CVE-2024-6387 e soprannominata regreSSHion, rappresenta un rischio significativo per la sicurezza.

Dettagli della Vulnerabilità

La vulnerabilità è causata da una condizione di race nel gestore di segnali di OpenSSH. Una condizione di race si verifica quando il comportamento del software dipende dall’ordine temporale di esecuzione di operazioni concorrenti. Nel caso di OpenSSH, questo problema permette a un attaccante di manipolare il flusso di esecuzione del server, portando a un’esecuzione di codice arbitrario con privilegi di root.

Diffusione e Gravità

Le analisi condotte utilizzando strumenti di scansione come Censys e Shodan hanno rivelato che oltre 14 milioni di server OpenSSH sono potenzialmente vulnerabili e esposti su Internet. Inoltre, dati anonimi raccolti mostrano che circa 700.000 istanze esposte esternamente sono vulnerabili, rappresentando il 31% delle istanze globali di OpenSSH nella nostra base clienti. Di queste, un piccolo ma significativo numero esegue versioni di OpenSSH non più supportate.

Storia della Vulnerabilità

Questa vulnerabilità è una regressione di una precedente vulnerabilità (CVE-2006-5051) risolta nel 2006. Una regressione si verifica quando un problema, precedentemente risolto, riappare in una versione successiva del software, solitamente a causa di modifiche o aggiornamenti che reintroducono inavvertitamente il difetto. Nel caso di OpenSSH, la regressione è stata introdotta nell’ottobre 2020 con la versione 8.5p1.

Impatti Potenziali

Se sfruttata, questa vulnerabilità consente a un attaccante di eseguire codice arbitrario con privilegi di root, portando a una compromissione completa del sistema. Gli attaccanti potrebbero:

1. Ottenere il Controllo Completo del Sistema: Eseguire comandi come amministratore, accedendo e modificando qualsiasi file o configurazione.
2. Installare Malware: Inserire software malevolo che potrebbe rubare dati, registrare attività degli utenti o danneggiare il sistema.
3. Manipolare Dati: Alterare, eliminare o rubare dati sensibili.
4. Creare Backdoor: Stabilire accessi nascosti per consentire futuri attacchi persistenti.

Inoltre, questa vulnerabilità potrebbe facilitare la propagazione nella rete, permettendo agli attaccanti di utilizzare un sistema compromesso come punto di partenza per attaccare altri sistemi vulnerabili all’interno dell’organizzazione.

Sfide di Sfruttamento

L’esploit di questa vulnerabilità non è semplice a causa della natura concorrente della condizione di race, richiedendo tentativi multipli per avere successo. Tuttavia, con l’uso di tecniche avanzate come il deep learning, gli attaccanti potrebbero aumentare significativamente le probabilità di sfruttamento.

Mitigazione e Prevenzione

Per proteggersi da questa vulnerabilità, è cruciale:

• Applicare le Patch: Aggiornare immediatamente OpenSSH alle versioni più recenti che includono le correzioni per questa vulnerabilità.
• Limitare l’Accesso SSH: Utilizzare controlli basati sulla rete per restringere l’accesso SSH solo a utenti e indirizzi IP autorizzati.
• Implementare Sistemi di Monitoraggio: Monitorare costantemente i sistemi per rilevare tentativi di sfruttamento e comportamenti anomali.

Conclusione

La scoperta della vulnerabilità regreSSHion in OpenSSH sottolinea l’importanza di una gestione attenta delle patch e della sicurezza. Le aziende devono essere vigili nell’applicazione tempestiva degli aggiornamenti di sicurezza e nell’implementazione di misure di prevenzione per proteggere le loro infrastrutture IT da potenziali attacchi.

TeamBit può aiutarvi a verificare se e quali dei vostri sistemi sono a rischio con questa e altre vulnerabilità. Non esitate a contattarci per un’analisi gratuita.

Per ulteriori dettagli tecnici sulla vulnerabilità, si prega di consultare il documento completo disponibile qui.