regreSSHion: Größte Entdeckung einer Sicherheitslücke seit log4shell
Die von der Qualys Threat Research Unit (TRU) entdeckte regreSSHion (CVE-2024-6387) ist eine nicht authentifizierte Remotecodeausführungs-Schwachstelle (RCE) in OpenSSHs Server in glibc-basierten Linux-Systemen, die vier Jahre lang unentdeckt blieb.
Eine Remotecodeausführungs-Schwachstelle (RCE-Schwachstelle) ermöglicht es einem Angreifer, Code auf dem System auszuführen, auf dem die anfällige Anwendung läuft. Dadurch kann er den Betrieb dieser oder anderer Anwendungen auf dem System unterbrechen. Wenn diese Schwachstelle ausgenutzt wird, kann ein Angreifer beliebigen Code mit den höchsten Privilegien ausführen, was zu einer vollständigen Systemübernahme, der Installation von Malware, der Erstellung von Backdoors und mehr führen kann.
regreSSHion: Weite Verbreitung sorgt für große Unsicherheit
Mit über 14 Millionen Instanzen weltweit ist die RegreSSHion schwerwiegend und kritisch, insbesondere für Unternehmen, die sich bei der Verwaltung von Remote-Servern stark auf OpenSSH verlassen. OpenSSH ist nämlich dafür bekannt, eine sehr sichere Software zu sein. Diese gefundene Sicherheitslücke ist eine eklatante Lücke in einer ansonsten nahezu fehlerfreien Implementierung.
Zum Hintergrund (Quelle: Wikipedia): OpenSSH ist ein Programmpaket zur Dateiübertragung. Dazu nutzt es Secure Shell (SSH) inklusive SSH File Transfer Protocol und beinhaltet dafür Clients, Dienstprogramme und einen Server. OpenSSH entstand 1999 als Abspaltung einer älteren Implementierung zum SSH-Protokoll von Tatu Ylönen, als diese noch freie Software war. Programmierer von OpenBSD vereinfachten dieses Derivat von Björn Grönvall, brachten es auf den aktuellen Stand des Protokolls, und veröffentlichten ihre erste eigene Version als OpenSSH 1.2.2.
Bereits zur Premiere als Bestandteil von OpenBSD gab es OpenSSH auch für FreeBSD und Linux. Inzwischen arbeitet OpenSSH auf fast allem, was auch nur im entferntesten Unix ist, einschließlich Cygwin.
Unternehmen wie beispielsweise IBM und Hewlett-Packard bieten OpenSSH für ihre Betriebssysteme wie AIX und HP-UX mit Erweiterungen an, und auch Microsoft bietet OpenSSH für Windows Server 2019 an.
Weitere Informationen zu regreSSHion finden Sie im vollständigen Blog-Beitrag von Qualys TRU hier.
