BDU:2018-00117

Уязвимость функции auth_password службы sshd средства криптографической защиты OpenSSH, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2018-01-25

Описание

Уязвимость функции auth_password (auth-passwd.c) службы sshd средства криптографической защиты OpenSSH существует из-за недостаточного механизма обработки входных данных (отсутствие ограничения длины пароля для аутентификации). Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании (расход вычислительных ресурсов) с использованием специально сформированной строки

Затрагиваемое ПО и версии

OpenSSH (до 7.2 включительно)MOXA EDR-810 (4.1)Альт 8 СП СерверАльт 8 СП Рабочая станцияOpenSSH (до 6.7p1-alt1.M70C.1)РОСА Кобальт

Способ устранения

Использование рекомендаций:

Для MOXA:
https://www.moxa.com/en/support/product-support/security-advisory/edr-810-series-security-router-vulnerabilities-(1)

Для OpenSSH:
обновление программного средства до версий 7.3 или более новой.

Для Альт 8 СП Сервер и Альт 8 СП Рабочая станция:
https://cve.basealt.ru/otchet-po-obnovleniiam-ot-16112016.html

Для ОС РОСА КОБАЛЬТ:
http://wiki.rosalab.ru/ru/index.php/ROSA-SA-18-03-18.001

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

http://openwall.com/lists/oss-security/2016/08/01/2 http://packetstormsecurity.com/files/140070/OpenSSH-7.2-Denial-Of-Service.html http://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.html http://www.securityfocus.com/bid/92212 http://www.securitytracker.com/id/1036487 https://access.redhat.com/errata/RHSA-2017:2029 https://github.com/openssh/openssh-portable/commit/fcd135c9df440bcd2d5870405ad3311743d78d97 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/X2L6RW34VFNXYNVVN2CN73YAGJ5VMTFU/

Проверьте безопасность своего сайта и почты → Полная проверка домена