网络安全
OpenSSH服务器未授权远程代码执行漏洞风险提示(CVE-2023-25136)
时间:2023年02月28日 15:33 来源:openSSH官网 作者: 最后编辑:网络信息中心

一、漏洞通告

近日,监测到OpenSSH官方发布了安全更新,修复了OpenSSH中的未授权远程代码执行漏洞(CVE-2023-25136),CVSS评分9.8。在默认配置中,未经身份验证的攻击者可以触发双重释放,从而在远程服务器上执行任意代码。此漏洞影响范围广泛,目前官方发布安全版本,建议受影响的用户尽快采取安全措施。

相关链接参考:

https://github.com/openssh/openssh-portable/commit/12da7823336434a403f25c7cc0c2c6aed0737a35

二、影响范围

受影响版本:

OpenSSH server=9.1

不受影响版本:

OpenSSH server>=9.2

三、漏洞描述

OpenSSH是一种用于安全通信和远程访问的流行工具。它是作为 Secure Shell (SSH) 通信协议的免费开源实现而开发的,广泛用于各种应用程序。

OpenSSH未授权远程代码执行漏洞(CVE-2023-25136):OpenSSH服务在针对putty老版本等客户端连接时做了兼容处理,导致compat_kex_proposal函数在options.kex_algorithms处理时存在双重释放漏洞。未经身份验证的攻击者可以触发双重释放,从而在远程服务器上执行任意代码。

四、影响范围

高危:目前漏洞细节和测试代码已公开,建议受影响用户及时升级到安全版本。

官方建议:目前官方已发布安全版本修复上述漏洞,建议受影响的用户升级至安全版本。

下载链接:https://ftp.openbsd.org/pub/OpenBSD/patches/7.2/common/017_sshd.patch.sig

 

 

地址:江西省南昌市新建区宏福大道2888号综合大楼1101A室 电话:0791-83659900

版权所有 @copy hbs02红宝石线路网络信息中心