Impatto Sistemico

Alto (71.53)

Sintesi

Rilevata una vulnerabilità con gravità “critica” in OpenSSH che interessa specifiche configurazioni di sistemi Linux – tra cui Alpine Linux – basati su musl libc, libreria standard del linguaggio C per sistemi Linux, alternativa alla più diffusa glibc (GNU C Library). Tale vulnerabilità potrebbe consentire a un attaccante remoto non autenticato l’elusione dei meccanismi di autenticazione SSH e ottenere accesso non autorizzato ai sistemi interessati.

Tipologia

• Authentication Bypass

Descrizione e potenziali impatti

È stata recentemente sanata una vulnerabilità con gravità “critica” nel servizio OpenSSH Server (sshd), dovuta a un’errata gestione della verifica delle credenziali nei sistemi Linux che utilizzano la libreria musl libc con il modulo di autenticazione PAM disabilitato.

Nel dettaglio, la vulnerabilità è dovuta ad un’errata gestione del valore restituito dalla funzione crypt() di musl libc, che utilizza il carattere “*” per segnalare un eventuale errore durante l’elaborazione di password con dimensioni superiori a 256 byte. Tale carattere può coincidere con quello utilizzato dal sistema per identificare gli account per i quali l’accesso tramite password è disabilitato. In queste condizioni, OpenSSH potrebbe interpretare erroneamente la corrispondenza come una verifica riuscita, consentendo a un attaccante di aggirare i controlli di autenticazione.

Un attaccante remoto non autenticato potrebbe sfruttare tale vulnerabilità, inviando richieste di autenticazione SSH contenenti password opportunamente predisposte, di lunghezza compresa tra 257 e 1.024 byte, per accedere senza autorizzazione ai sistemi interessati.  Qualora l’account utilizzato disponga di privilegi elevati, o consenta di acquisirli, l’attaccante potrebbe ottenere il controllo completo del sistema.

Lo sfruttamento richiede l’abilitazione dell’autenticazione SSH tramite password e la presenza, sul sistema, di almeno un account per il quale l’accesso tramite password è disabilitato e di un altro account le cui credenziali sono memorizzate sotto forma di hash SHA-256 crypt o SHA-512 crypt.

Prodotti e versioni affette

OpenSSH Portable

• versioni precedenti alla 10.6p2 (su sistemi Linux basati su musl libc con autenticazione PAM disabilitata)

Alpine Linux: versioni dalla 3.16 alla 3.24 e ramo edge, con i seguenti pacchetti OpenSSH:

• edge, versioni precedenti alla 10.6_p2-r0
• 3.24, versioni precedenti alla 10.3_p1-r2
• 3.23, versioni precedenti alla 10.2_p1-r1
• 3.22, versioni precedenti alla 10.0_p1-r11
• 3.21, versioni precedenti alla 9.9_p2-r1
• 3.20, versioni precedenti alla 9.7_p1-r6
• 3.19, versioni precedenti alla 9.6_p1-r3
• 3.18, versioni precedenti alla 9.3_p2-r4
• 3.17, versioni precedenti alla 9.1_p1-r7
• 3.16, versioni precedenti alla 9.0_p1-r6

N.B. La vulnerabilità è sfruttabile esclusivamente in presenza delle specifiche condizioni di configurazione descritte nel bollettino di sicurezza.

Azioni di mitigazione

Si raccomanda di aggiornare tempestivamente OpenSSH alle versioni correttive rese disponibili dai rispettivi vendor.

In particolare, per i sistemi Alpine Linux, si raccomanda di:

• aggiornare i pacchetti OpenSSH alle versioni correttive disponibili per il ramo della distribuzione utilizzato, eseguendo il comando apk upgrade -U -a ;
• riavviare manualmente il servizio SSH mediante il comando rc-service sshd restart , poiché l’aggiornamento dei pacchetti non comporta il riavvio automatico del processo in esecuzione.

Qualora non sia possibile procedere tempestivamente con l’aggiornamento, si raccomanda di adottare le seguenti misure temporanee:

• disabilitare l’autenticazione SSH tramite password, impostando il parametro PasswordAuthentication no nel file di configurazione del servizio, previa verifica del corretto funzionamento dell’autenticazione mediante chiave pubblica;
• disabilitare, ove non necessario, il meccanismo di autenticazione interattiva tramite tastiera, impostando il parametro KbdInteractiveAuthentication no ;
• limitare l’accesso al servizio SSH ai soli indirizzi IP e alle reti autorizzate, valutandone la disabilitazione qualora non sia possibile garantirne un’adeguata protezione.

Si raccomanda inoltre di monitorare i log di autenticazione SSH, al fine di rilevare eventuali accessi non autorizzati o tentativi di autenticazione anomali, con particolare attenzione agli accessi tramite password ad account per i quali tale modalità di autenticazione risulta disabilitata.