La Unidad de Investigación de Amenazas de Qualys (TRU) ha identificado una nueva vulnerabilidad que expone a millones de sistemas Linux basados en glibc a la ejecución remota de código (RCE).
Vulnerabilidad crítica en OpenSSH
Esta vulnerabilidad representa la primera incidencia crítica de OpenSSH en casi dos décadas. La vulnerabilidad, identificada como CVE-2024-6387, afecta al servidor de OpenSSH (sshd) en sistemas Linux basados en glibc.
Permite a atacantes no autenticados obtener acceso root y potencialmente tomar el control completo de las máquinas afectadas. Afecta a la configuración predeterminada y no requiere interacción del usuario, representando un riesgo significativo.
Naturaleza técnica de la vulnerabilidad
El fallo se origina en una condición de carrera en el manejador de señales del servidor de OpenSSH (sshd). La vulnerabilidad fue nombrada 'regreSSHion' debido a su naturaleza como un fallo de regresión que afecta a OpenSSH.
Esta vulnerabilidad es una regresión del problema previamente solucionado CVE-2006-5051, reportado en 2006. Las versiones de OpenSSH anteriores a la 4.4p1, a menos que estén parcheadas para CVE-2006-5051 y CVE-2008-4109, son vulnerables.
Impacto potencial
Las versiones de la 4.4p1 hasta, pero sin incluir, la 8.5p1 no son vulnerables debido a un parche transformador para CVE-2006-5051. Las versiones desde la 8.5p1 hasta, pero sin incluir, la 9.8p1 son vulnerables nuevamente debido a la eliminación accidental de un componente severo en una función.
Más de 14 millones de instancias potencialmente vulnerables del servidor OpenSSH identificadas a través de búsquedas en Censys y Shodan. Aproximadamente 700,000 de estas están expuestas a internet.
Riesgos asociados
- Acceso root completo a las máquinas afectadas.
- Compromiso completo del sistema.
- Instalación de malware.
- Manipulación de datos.
- Establecimiento de puertas traseras para un acceso persistente.
Mitigaciones recomendadas
Aplicar lo antes posible los parches disponibles para OpenSSH y priorizar los procesos de actualización regular. Limitar el acceso SSH a través de controles basados en la red.
Implementar la segmentación de red para restringir el acceso no autorizado. Desplegar sistemas de detección de intrusos para monitorear actividades inusuales indicativas de intentos de explotación.