Se ha identificado una nueva vulnerabilidad en el software OpenSSH que podría permitir a un atacante remoto ejecutar comandos arbitrarios en hosts comprometidos bajo condiciones específicas. La vulnerabilidad, catalogada como CVE-2023-38408, afecta a todas las versiones de OpenSSH anteriores a la 9.3p2.
Características de la vulnerabilidad
Según un análisis realizado por Qualys, esta falla permite que un atacante remoto ejecute potencialmente comandos arbitrarios en el ssh-agent reenviado de OpenSSH vulnerable. Para explotarla, se requiere la presencia de ciertas bibliotecas en el sistema de la víctima y que el agente de autenticación SSH se reenvíe a un sistema controlado por el atacante.
El ssh-agent es un programa en segundo plano que mantiene las claves de los usuarios en la memoria, facilitando los inicios de sesión remotos sin necesidad de ingresar repetidamente la frase de contraseña. La explotación exitosa depende del reenvío de este agente y de la presencia de bibliotecas compartidas en /usr/lib*.
Detalles técnicos
Qualys explicó que, al examinar el código fuente de ssh-agent, se descubrió que un atacante remoto con acceso al servidor donde se reenvía el ssh-agent de Alice puede cargar (dlopen()) e inmediatamente descargar (dlclose()) cualquier biblioteca compartida en /usr/lib* en la estación de trabajo de Alice, siempre que esté compilado con ENABLE_PKCS11, valor predeterminado.
La firma de ciberseguridad mencionó que diseñó una prueba de concepto (PoC) exitosa contra las instalaciones predominantes de Ubuntu Desktop 22.04 y 21.10, aunque se espera que otras distribuciones de Linux también sean vulnerables.
Recomendación
Se recomienda encarecidamente a los usuarios de OpenSSH actualizar a la versión más reciente (9.3p2 o superior) para protegerse contra posibles amenazas cibernéticas.
Historial de parches en OpenSSH
A principios de febrero, OpenSSH publicó una actualización para remediar una falla de seguridad de gravedad media (CVE-2023-25136) que podría ser explotada por un atacante remoto no autenticado para modificar ubicaciones de memoria inesperadas y, en teoría, lograr la ejecución del código.
Un lanzamiento posterior en marzo abordó otro problema de seguridad relacionado con una respuesta de DNS específicamente diseñada para realizar una lectura fuera de los límites de los datos de la pila adyacente y causar una denegación de servicio al cliente SSH.