So’nggi 20 yil ichida chiqarilgan OpenSSH ning barcha versiyalari jiddiy zaiflikka moyil.

OpenSSH keng qo’llanilishini hisobga olsak, milliardlab zaif qurilmalar bo’lishi mumkin.

Qualys xavfsizlik tadqiqotchilari OpenSSHda masofaviy hujumchiga OpenSSH serverlarida ro’yxatdan o’tgan loginlarni taxmin qilish imkonini beruvchi zaiflikni aniqladilar. Muammo (CVE-2018-15473) so’nggi 20 yil ichida chiqarilgan OpenSSH mijozining barcha versiyalariga ta’sir qiladi. OpenSSH keng qo’llanilishini hisobga olsak, bulutli serverlardan tortib IoT uskunalarigacha bo’lgan milliardlab zaif qurilmalarga ta’sir qilishi mumkin. Muammoni hal qilish (yamoq allaqachon chiqarilgan) ancha vaqt talab qilishi mumkin. Muvaffaqiyatli hujum uchun hujumchi maxsus tayyorlangan autentifikatsiya so’rovini yuborish uchun zaif serverga kirishga urinishi kerak. Server so’rovga ikki xil usulda javob berishi mumkin: agar so’rovda ko’rsatilgan login mavjud bo’lmasa, server xato xabari bilan javob beradi; agar ko’rsatilgan foydalanuvchi nomi mavjud bo’lsa, ulanish javobsiz uziladi. Bu xatti-harakatlar hujumchiga SSH serverida ro’yxatdan o’tgan haqiqiy loginlarni taxmin qilish va qo’pol kuch hujumlari yoki lug’at hujumlari yordamida parollarni buzish imkonini beradi.

Zaiflik OpenSSH 1:6.7p1-1 va 1:7.7p1-1 barqaror versiyalari, shuningdek 1:7.7p1-4 beqaror filialida chiqarilishi bilan tuzatildi. Mutaxassislar serverlarni zaifliklarni tekshirish uchun PoC kodini nashr etdilar (1, 2, 3). Boshqa narsalar qatorida, tadqiqotchilar serverlarda muammo mavjudligini tekshirish bo’yicha bosqichma-bosqich ko’rsatmalar berishdi.

Agar biron sababga ko’ra tizim ma’murlari tuzatuvchi yamoqlarni o’rnata olmasalar, muammoning oldini olish uchun turli usullarni qo’llash tavsiya etiladi, xususan, OpenSSH mijozini o’chirib qo’yish va qurilmalarda muqobil avtorizatsiya usullaridan foydalanish yoki agar buning iloji bo’lmasa, OpenSSH da ochiq kalit avtorizatsiyasini o’chirib qo’yish.

OpenSSH – bu masofaviy kompyuterlarga xavfsiz kirish uchun ishlatiladigan tarmoq vositalari to’plami.