CVE-2024-6387Open SSH漏洞彻底解决举措（含踩坑内容）

一、漏洞名称

OpenSSH 远程代码执行漏洞(CVE-2024-6387)

二、漏洞概述

Open SSH是基于SSH协议的安全网络通信工具，广泛应用于远程服务器管理、加密文件传输、端口转发、远程控制等多个领域。近日被爆出存在一个远程代码执行漏洞，由于Open SSH服务器端程序存在竞争条件缺陷，未经身份验证的攻击者可利用该漏洞在Linux系统上以root身份远程执行代码，可全面接管系统、安装恶意软件、篡改、删除或窃取系统数据，创建后门等。受影响版本为8.5p1<=version<9.8p1。目前Open SSH官方已发布新版本完成漏洞修复。（更新链接：https://www.openssh.com/releasenotes.html）

三、缓解措施

自行百度，关闭ssh、 允许特定用户访问等

四、修复建议

建议升级OpenSSH至安全版本，彻底解决。

各位老板不要着急、这里有坑，假如服务器Openssh>=1.1.1那么恭喜直接升级Openssh即可。

由于本人服务器版本是OpenSSL 1.0.2k-fips在升级过程中卸载、重装服务经过多次尝试最终等已解决。

踩坑一：

OpenSSL 1.0.2k-fips版本，升级条件Openssh需大于1.1.1，否则升级提示Open SSH版本低

踩坑二：

升级OpenSSL 成功后，openssl verison与 ssh -V 结果下的openssl版本不一致问题，导致升级OpenssH也已失败告终。至此请看正文解决办法，一路到底升级成功。

4.1、查看服务器OpenSSL版本配置
openssl version
[root@localhost ~]# openssl version
OpenSSL 1.0.2k-fips  26 Jan 2017
4.2、查看升级服务器OpenSSL版本

ssh -V

[root@localhost ~]# ssh -V
OpenSSH_7.4p1, OpenSSL 1.0.2k-fips  26 Jan 2017
4.3、查看服务器版本
[root@localhost ~]# uname -a
Linux localhost.localdomain 3.10.0-1160.el7.x86_64 #1 SMP Mon Oct 19 16:18:59 UTC 2020 x86_64 x86_64 x86_64 GNU/Linux

给大家看下云服务器版本基于CentOS 7.6版本升级 

4.4、最终目标

先试试先版本，由于升级成功了下次在升级至OpenSSH 9.8p1

OpenSSH 7.4p1 -> OpenSSH 9.3p1OpenSSL 1.0.2k-fips -> OpenSSL 3.1.2
4.4、版本直通车链接
OpenSSL官网地址：https://www.openssl.org/OpenSSH官网地址：https://www.openssh.com/
4.5、小心驶得万年船

telnet安装以防万一具体安装请看上一篇文章、由于本人已尝试升级顺利暂未发现升级失败现象，各位看官可大胆尝试。无误后升级生产环境

4.6、自我安慰一下

数据备份一下，虽然升级成功了，没有导致服务器链接不上的可能。

mv /usr/bin/openssl /usr/bin/openssl.old
mv /etc/ssh /etc/ssh.old
mkdir /usr/bin/bak
cp -arpf /usr/bin/{cp,sftp,ssh,ssh-add,ssh-agent,ssh-keygen,ssh-keyscan} /usr/bin/bak/
cp -arpf /usr/sbin/sshd /usr/sbin/sshd.bak
cp -arpf /etc/sysconfig/sshd /etc/sysconfig/sshd.bak
cp -arpf /etc/pam.d/sshd /etc/pam.d/sshd.bak

五、奏是个干升级openssl

5.1、下载OpenSSL、OpenSSH、zlib
创建download文件夹（根据自己喜好）
wget https://www.openssl.org/source/openssl-3.1.2.tar.gz --no-check-certificate
wget https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-9.3p1.tar.gz
wget http://www.zlib.net/zlib-1.3.1.tar.gz

  [root@yfvyy5b2on3knb8q ~]# cd download/

[root@yfvyy5b2on3knb8q download]# ll -a
total 18528
drwxr-xr-x   5 root root      4096 Jul  9 18:24 .
dr-xr-x---.  5 root root      4096 Jul 10 08:06 ..
drwxr-xr-x   7 1000  1000    20480 Jul  9 18:41 openssh-9.3p1
-rw-r--r--   1 root root   1856839 Mar 16  2023 openssh-9.3p1.tar.gz
drwxrwxr-x  24 root root      4096 Jul  9 18:33 openssl-3.1.2
-rw-r--r--   1 root root  15560427 Jan 22 19:24 openssl-3.1.2.tar.gz
drwxr-xr-x  14  501 games     4096 Jul  9 18:25 zlib-1.3.1
-rw-r--r--   1 root root   1512791 Jan 23 03:53 zlib-1.3.1.tar.gz
5.2、解压
tar xvf openssh-9.3p1.tar.gz
tar xvf openssl-3.1.2.tar.gz
tar xvf zlib-1.3.1.tar.gz
5.3、安装依赖
yum install gcc
yum install gcc-c++ 
yum install perl 
yum install perl-IPC-Cmd
yum install pam 
yum install pam-devel
5.4 、安装升级zlib
cd zlib-1.3.1
./configure --prefix=/usr/local/zlib-1.3.1 
make  && make install
5.5、安装升级openssl
cd openssl-3.1.2
./config --prefix=/usr/local/openssl-3.1.2 make && make install 
echo '/usr/local/openssl-3.1.2/lib64' >> /etc/ld.so.conf 
ln -s /usr/local/openssl-3.1.2/bin/openssl /usr/bin/openssl
ln -s /usr/local/openssl-3.1.2/include/openssl /usr/include/openssl 
ll -s /usr/bin/openssl 
ll -s /usr/include/openssl
ln -s /usr/local/openssl-3.1.2/lib64/libssl.so.3 /usr/lib64/libssl.so.3
ln -s /usr/local/openssl-3.1.2/lib64/libcrypto.so.3 /usr/lib64/libcrypto.so.3
ldconfig -v

5.6、查看版本

openssl version
[root@yfvyy5b2on3knb8q download]# openssl version
OpenSSL 3.1.2 1 Aug 2023 (Library: OpenSSL 3.1.2 1 Aug 2023)

六、升级openssh

cd openssh-9.3p1
 6.1、编译、验证测试环境
./configure --prefix=/usr/local/openssh-9.3p1 --sysconfdir=/etc/ssh --with-pam --with-ssl-dir=/usr/local/openssl-3.1.2 --with-zlib=/usr/local/zlib-1.3.1 --without-hardening
make && make install
 6.2、安装
make && make install
 6.3、数据备份
cp -arpf /usr/local/openssh-9.3p1/bin/scp /usr/bin/
cp -arpf /usr/local/openssh-9.3p1/bin/sftp /usr/bin/
cp -arpf /usr/local/openssh-9.3p1/bin/ssh /usr/bin/
cp -arpf /usr/local/openssh-9.3p1/bin/ssh-add /usr/bin/
cp -arpf /usr/local/openssh-9.3p1/bin/ssh-agent /usr/bin/
cp -arpf /usr/local/openssh-9.3p1/bin/ssh-keygen /usr/bin/
cp -arpf /usr/local/openssh-9.3p1/bin/ssh-keyscan /usr/bin/
cp -arpf /usr/local/openssh-9.3p1/sbin/sshd /usr/sbin/sshd
cp -a contrib/redhat/sshd.init /etc/init.d/sshd
cp -a contrib/redhat/sshd.pam /etc/pam.d/sshd.pam
chmod +x /etc/init.d/sshd
mv /usr/lib/systemd/system/sshd.service /usr/lib/systemd/system/sshd.service.bak

 

  1. ./configure --prefix=/usr/local/openssh-9.3p1 --sysconfdir=/etc/ssh --with-pam --with-ssl-dir=/usr/local/openssl-3.1.2 --with-zlib=/usr/local/zlib-1.3.1 --without-hardening

    • ./configure 脚本是大多数开源软件项目（特别是使用GNU Autotools构建的项目）提供的配置脚本，用于准备软件的编译环境。它会检查系统环境，确定哪些功能可以被支持，并根据用户提供的选项（通过命令行参数）来定制编译过程。

    • --prefix=/usr/local/openssh-9.3p1 指定了软件安装后的根目录。在这个例子中，所有的安装文件（可执行文件、库文件、配置文件等）都会被安装在/usr/local/openssh-9.3p1目录下。这有助于将不同版本的软件安装到不同的目录，以避免冲突。

    • --sysconfdir=/etc/ssh 指定了配置文件（如sshd_config）的存放目录。即使软件的主体安装在--prefix指定的目录下，配置文件仍可以存放在系统的标准配置目录中，方便管理和维护。

    • --with-pam 启用了PAM（Pluggable Authentication Modules）支持。PAM提供了一种灵活的方式来认证用户，允许管理员通过模块来配置不同的认证机制。

    • --with-ssl-dir=/usr/local/openssl-3.1.2 指定了OpenSSL的安装目录。OpenSSL是一个强大的安全套接字层（SSL）和传输层安全性（TLS）协议的实现，OpenSSH依赖它来提供加密功能。

    • --with-zlib=/usr/local/zlib-1.3.1 指定了zlib的安装目录。zlib是一个广泛使用的数据压缩库，OpenSSH使用它来提高数据传输的效率。

    • --without-hardening 禁用了编译时的强化选项（如果有的话）。这些强化选项通常用于提高软件的安全性，但在某些情况下，由于兼容性问题或特定的部署需求，可能会选择禁用它们。

  2. make && make install

    • make 命令根据Makefile（由./configure脚本生成）中的指令编译软件。它会自动处理编译过程中所需的依赖关系和编译顺序。

    • && 是一个Shell命令操作符，用于连接两个命令，仅当第一个命令成功执行（即返回状态为0）时，才会执行第二个命令。

    • make install 命令将编译好的软件安装到前面./configure脚本指定的位置（在这个例子中是/usr/local/openssh-9.3p1）。这包括可执行文件、库文件、配置文件等。

 6.4、启动sshd
systemctl daemon-reload
systemctl enable sshd.socket
sshd -t
systemctl restart sshd
6.5、查看版本
[root@yfvyy5b2on3knb8q openssh-9.3p1]# openssl version
OpenSSL 3.1.2 1 Aug 2023 (Library: OpenSSL 3.1.2 1 Aug 2023)
[root@yfvyy5b2on3knb8q openssh-9.3p1]# ssh -V
OpenSSH_9.3p1, OpenSSL 3.1.2 1 Aug 2023
[root@yfvyy5b2on3knb8q openssh-9.3p1]# uname -a
Linux yfvyy5b2on3knb8q 3.10.0-957.el7.x86_64 #1 SMP Thu Nov 8 23:39:32 UTC 2018 x86_64 x86_64 x86_64 GNU/Linux
[root@yfvyy5b2on3knb8q openssh-9.3p1]#

最后不要着急，由于sshd发生了变化，需要特别注意，需要更改配置

vim  /etc/ssh/sshd_config
 Port 22PermitRootLogin yes

Port 22 
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::#HostKey /etc/ssh/ssh_host_rsa_key
#HostKey /etc/ssh/ssh_host_ecdsa_key
#HostKey /etc/ssh/ssh_host_ed25519_key# Ciphers and keying
#RekeyLimit default none# Logging
#SyslogFacility AUTH
#LogLevel INFO# Authentication:#LoginGraceTime 2m
PermitRootLogin yes
#StrictModes yes
#MaxAuthTries 6
#MaxSessions 10
 6.6、无误后关闭telnet服务，没有安装telnet
systemctl stop telnet.socket
systemctl disable telnet.socket
systemctl stop xinetd
systemctl disable xinetd

openssl版本高于1.1.1直接升级openssh即可！

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://xiahunao.cn/news/3225862.html

如若内容造成侵权/违法违规/事实不符，请联系瞎胡闹网进行投诉反馈，一经查实，立即删除！

相关文章

高可用hadoop分布式节点的扩容

高可用hadoop分布式节点的扩容

解决方案 修改hdfs-site.xml 文件 原xml文件 <?xml version"1.0" encoding"UTF-8"?> <?xml-stylesheet type"text/xsl" href"configuration.xsl"?> <!--Licensed under the Apache License, Version 2.0 (th…
阅读更多...
华盈生物获得美国Akoya认证的PhenoCycler-Fusion（原CODEX）技术服务商

华盈生物获得美国Akoya认证的PhenoCycler-Fusion（原CODEX）技术服务商

华盈生物获得美国Akoya认证的PhenoCycler-Fusion&#xff08;原CODEX&#xff09;技术服务商 华盈生物获得美国Akoya公司认证的PhenoCycler-Fusion&#xff08;原CODEX&#xff09;空间单细胞蛋白组技术服务商&#xff0c;并进入该技术的全球CRO服务提供者网络&#xff1a;htt…
阅读更多...
java设计模式（十三）模版方法模式（Template Method Pattern）

java设计模式（十三）模版方法模式（Template Method Pattern）

1、模式介绍&#xff1a; 模版方法模式是一种行为型设计模式&#xff0c;定义了一个操作中的算法框架&#xff0c;将一些步骤延迟到子类中实现。模版方法使得子类可以在不改变算法结构的情况下&#xff0c;重新定义算法中的某些步骤。 2、应用场景&#xff1a; 算法框架固定…
阅读更多...
Python酷库之旅-第三方库Pandas(013)

Python酷库之旅-第三方库Pandas(013)

目录 一、用法精讲 31、pandas.read_feather函数 31-1、语法 31-2、参数 31-3、功能 31-4、返回值 31-5、说明 31-6、用法 31-6-1、数据准备 31-6-2、代码示例 31-6-3、结果输出 32、pandas.DataFrame.to_feather函数 32-1、语法 32-2、参数 32-3、功能 32-4、…
阅读更多...
小白学c嘎嘎（第二天）入门基础下

小白学c嘎嘎（第二天）入门基础下

温馨提醒&#xff1a;本篇文章起&#xff0c;文章内容排版将更新&#xff0c;层层深入 基础知识 回顾 引用的语法格式&#xff1a;类型& 引⽤别名 引⽤对象; 引用特性 1. 引⽤在定义时必须初始化 2. ⼀个变量可以有多个引⽤ 3. ⼀旦引⽤⼀个实体&#xff0c;再不…
阅读更多...
android Dialog全屏沉浸式状态栏实现

android Dialog全屏沉浸式状态栏实现

在Android中&#xff0c;创建沉浸式状态栏通常意味着让状态栏背景与应用的主题颜色一致&#xff0c;并且让对话框在状态栏下面显示&#xff0c;而不是浮动。为了实现这一点&#xff0c;你可以使用以下代码片段&#xff1a; 1、实际效果图&#xff1a; 2、代码实现&#xff1a;…
阅读更多...
【解读大模型（LLM）的token】

【解读大模型（LLM）的token】

文末有福利&#xff01; 当人们谈论大型语言模型的大小时&#xff0c;参数会让我们了解神经网络的结构有多复杂&#xff0c;而token的大小会让我们知道有多少数据用于训练参数。 正像陆奇博士所说的那样&#xff0c;大型语言模型为从文本生成到问题回答的各种任务提供了令人印象…
阅读更多...
11410-00SF 同轴连接器

11410-00SF 同轴连接器

型号简介 11410-00SF是Southwest Microwave的连接器。该连接器的外壳采用优质不锈钢&#xff0c;材质为 CRES ALLOY UNS-S303500&#xff0c;符合 ASTM-A582 标准。首先&#xff0c;不锈钢材料经过锻造加工&#xff0c;形成转接器的基本形状。然后&#xff0c;外壳进行精密的 C…
阅读更多...
雷池WAF动态防护功能初体验

雷池WAF动态防护功能初体验

一、 介绍 大名鼎鼎的雷池WAF最近新上了个名为 动态防护 的功能 所谓动态防护&#xff0c;是在用户浏览到的网页内容不变的情况下&#xff0c;将网页赋予动态特性&#xff0c;即使是静态页面&#xff0c;也会具有动态的随机性。 说白了就是给你网站的 html 和 js 代码加上加密…
阅读更多...
WEB安全：网络安全常用术语

WEB安全：网络安全常用术语

一、攻击类别 漏洞&#xff1a;硬件、软件、协议&#xff0c;代码层次的缺陷。 后⻔&#xff1a;方便后续进行系统留下的隐蔽后⻔程序。 病毒&#xff1a;一种可以自我复制并传播&#xff0c;感染计算机和网络系统的恶意软件(Malware)&#xff0c;它能损害数据、系统功能或拦…
阅读更多...
浅谈“不要卷模型，要卷应用”

浅谈“不要卷模型，要卷应用”

目录 1.概述 2.AI技术应用场景探索 3.避免超级应用陷阱的策略 3.1.追求DAU的弊端 3.2.平衡用户活跃度与应用实用性的策略 4.个性化智能体开发 4.1. 用户需求分析与数据收集 4.2. 技术选择与开发 4.3. 个性化算法设计 4.4. 安全性与隐私保护 4.5. 多渠道集成与响应机…
阅读更多...
防火墙安全策略用户认证综合实验

防火墙安全策略用户认证综合实验

目录 一、拓扑图 二、实验要求 三、实验步骤 步骤1&#xff1a;配置防火墙接口 步骤2&#xff1a;配置ISP 步骤3&#xff1a;配置交换机LSW1 步骤4&#xff1a;配置PC端、客户端、服务器端 需求1&#xff1a;针对访问DMZ区内的服务器 ​编辑测试需求1: 需求2&#xff…
阅读更多...
transformer维度变化，图中直观表现

transformer维度变化，图中直观表现

transformer维度变化&#xff0c;图中直观表现 Transformer分为两阶段&#xff1a;训练&#xff0c;推理&#xff1a;训练阶段&#xff1a;Encoder部分&#xff1a;Decoder部分&#xff1a; 推理阶段&#xff1a;训练阶段图片推理阶段图片 Transformer分为两阶段&#xff1a;训…
阅读更多...
WPF界面设计-更改按钮样式 自定义字体图标

WPF界面设计-更改按钮样式 自定义字体图标

一、下载图标文件 iconfont-阿里巴巴矢量图标库 二、xaml界面代码编辑 文件结构 &#xe653; 对应的图标代码 Fonts/#iconfont 对应文件位置 <Window.Resources><ControlTemplate TargetType"Button" x:Key"CloseButtonTemplate"…
阅读更多...
Web3D技术应用在什么场景，能给企业带来什么价值？

Web3D技术应用在什么场景，能给企业带来什么价值？

Web3D现在已经在很多行业和领域应用了&#xff0c;以 博维数孪 行业用户为例&#xff0c;它能够为企业带来一系列价值&#xff1a; 1、电商领域&#xff1a;在电商中&#xff0c;Web3D技术可以提供3D商品展示&#xff0c;让消费者能够全面了解商品的每一个细节&#xff0c;并且…
阅读更多...
【高中数学/幂函数】比较a=2^0.3,b=3^0.2,c=7^0.1的大小

【高中数学/幂函数】比较a=2^0.3,b=3^0.2,c=7^0.1的大小

【问题】 比较a2^0.3,b3^0.2,c7^0.1的大小 【解答】 a2^0.32^3/10(2^3)^1/108^1/10 b3^0.23^2/10(3^2)^1/109^1/10 c7^0.17^1/10 由于yx^1/10在x正半轴是增函数&#xff0c;底数大的得数就大。 因为9>8>7,所以b>a>c 【图像】 在图像上绘出曲线yx^1/10&…
阅读更多...
从数据仓库到数据湖(上)：数据湖导论

从数据仓库到数据湖(上)：数据湖导论

文章目录 一、什么是数据湖&#xff1f;起源数据湖的特征 二、为什么要用数据湖&#xff1f;三、数据湖与数据仓库的区别数据仓库和数据湖的对比 四、数据湖本质数据存储架构数据处理工具&#xff1a;三类第一类工具第二类工具第三类工具 小结 五、总结六、参考资料 一、什么是…
阅读更多...
K8s GPU 资源管理探索：在 KubeSphere 上部署 AI 大模型 Ollama

K8s GPU 资源管理探索：在 KubeSphere 上部署 AI 大模型 Ollama

作者&#xff1a;运维有术星主 随着人工智能、机器学习、AI 大模型技术的迅猛发展&#xff0c;我们对计算资源的需求也在不断攀升。特别是对于需要处理大规模数据和复杂算法的 AI 大模型&#xff0c;GPU 资源的使用变得至关重要。对于运维工程师而言&#xff0c;掌握如何在 Kub…
阅读更多...
发送手机，邮箱验证码

发送手机，邮箱验证码

一、发送邮箱&#xff0c;使用hutool工具包 使用aliyun邮箱作为发件邮箱&#xff0c;需要在邮箱中开启代收功能 1、引入依赖 userController代码 GetMapping("/sendCodeEmail")public Integer sendCodeEmail(String mel){return userService.sendCodeEmail(mel);} …
阅读更多...
！vue3中defineEmits接收父组件向子组件传递方法，以及方法所需传的参数及类型定义，避免踩坑！

！vue3中defineEmits接收父组件向子组件传递方法，以及方法所需传的参数及类型定义，避免踩坑！

使用说明 1、在子组件中调用defineEmits并定义要发射给父组件的方法 const emits defineEmits([‘foldchange’]) 2、使用defineEmits会返回一个方法&#xff0c;使用一个变量emits(变量名随意)去接收 3、在子组件要触发的方法中&#xff0c;调用emits并传入发射给父组件的方法…
阅读更多...
最新文章

Copyright @ 2022~2023