Support Kritische OpenSSH Server-Schwachstelle CVE-2024-6387

[SaMMyMaster]

In OpenSSH-Server wurde eine kritische Schwachstelle CVE-2024-6387 offen gelegt. Die als regreSSHion bezeichnete Sicherheitslücke ermöglicht eine Remote Unauthenticated Code Execution – und Sicherheitsfirmen haben über 14 Millionen potentiell angreifbare OpenSSH-Server im Internet gefunden. Allerdings sollte sich das Risiko trotzdem in Grenzen halten.

Was ist OpenSSH​

OpenSSH (Open Secure Shell) ist eine Reihe von sicheren Netzwerkdienstprogrammen, die auf dem Secure Shell (SSH)-Protokoll basieren, das für die sichere Kommunikation über ungesicherte Netzwerke unerlässlich ist. Die Open Secure Shell bietet eine robuste Verschlüsselung, um den Datenschutz und sichere Dateiübertragungen zu gewährleisten. Daher ist OpenSSH als Werkzeug für die Remote-Verwaltung breit im Einsatz.

Schwachstelle CVE-2024-6387​

Die Qualys Threat Research Unit (TRU) hat eine Sicherheitslücke in OpenSSHs Server (sshd) entdeckt, der der CVE-Code CVE-2024-6387 zugewiesen wurde. Qualsys hat das Ganze mit dem Namen regresSSHion belegt und das Ganze zum 1. Juli 2024 im Blog-Beitrag

Sie müssen registriert sein, um Links zu sehen.

offen gelegt.

Sie müssen registriert sein, um Links zu sehen.

Hoffentlich wird das dann in freetz-ng gefixt ;-)

Nachtrag
OpenSSH 8.5p1 bis 9.8; die erste fehlerbereinigte Version ist OpenSSH 9.8p1. So steht es

Sie müssen registriert sein, um Links zu sehen.

Sonst hier

Spoiler

--- make/pkgs/openssh/Config.in    2024-03-16 07:46:03.000000000 +0100
+++ make/pkgs/openssh/Config.in    2024-07-02 08:51:57.756504000 +0200
@@ -2,7 +2,7 @@
     depends on !FREETZ_OPENSSL_VERSION_1_MIN
 
 config FREETZ_PACKAGE_OPENSSH
-    bool "OpenSSH 9.3p2/9.7p1"
+    bool "OpenSSH 9.3p2/9.8p1"
     depends on FREETZ_OPENSSL_VERSION_1_MIN
     select FREETZ_LIB_libcrypto_WITH_EC       if !FREETZ_PACKAGE_OPENSSH_INTERNAL_CRYPTO
     select FREETZ_LIB_libcrypt                if !FREETZ_PACKAGE_OPENSSH_STATIC && FREETZ_TARGET_UCLIBC_HAS_multiple_libs
@@ -28,7 +28,7 @@
                 Version 9.3p2 is the last with support for OpenSSL 1.0.2.
 
         config FREETZ_PACKAGE_OPENSSH_VERSION_CURRENT
-            bool "9.7p1"
+            bool "9.8p1"
             depends on !FREETZ_PACKAGE_OPENSSL_VERSION_0 && !FREETZ_PACKAGE_OPENSSL_VERSION_1
 
     endchoice
--- make/pkgs/openssh/openssh.mk    2024-06-20 10:01:04.948652285 +0200
+++ make/pkgs/openssh/openssh.mk    2024-07-02 08:53:18.002644000 +0200
@@ -1,7 +1,7 @@
-$(call PKG_INIT_BIN, $(if $(FREETZ_PACKAGE_OPENSSH_VERSION_ABANDON),9.3p2,9.7p1))
+$(call PKG_INIT_BIN, $(if $(FREETZ_PACKAGE_OPENSSH_VERSION_ABANDON),9.3p2,9.8p1))
 $(PKG)_SOURCE:=$(pkg)-$($(PKG)_VERSION).tar.gz
 $(PKG)_HASH_ABANDON:=200ebe147f6cb3f101fd0cdf9e02442af7ddca298dffd9f456878e7ccac676e8
-$(PKG)_HASH_CURRENT:=490426f766d82a2763fcacd8d83ea3d70798750c7bd2aff2e57dc5660f773ffd
+$(PKG)_HASH_CURRENT:=dd8bd002a379b5d499dfb050dd1fa9af8029e80461f4bb6c523c49973f5a39f3
 $(PKG)_HASH:=$($(PKG)_HASH_$(if $(FREETZ_PACKAGE_OPENSSH_VERSION_ABANDON),ABANDON,CURRENT))
 $(PKG)_SITE:=https://ftp.openbsd.org/pub/OpenBSD/OpenSSH/portable,ftp://ftp.openbsd.org/pub/OpenBSD/OpenSSH/portable
 ### WEBSITE:=https://www.openssh.com/
--- make/pkgs/openssh/patches/current/010-getpagesize_in_libc_on_linux.workaround.patch    2024-03-16 07:46:03.000000000 +0100
+++ make/pkgs/openssh/patches/current/010-getpagesize_in_libc_on_linux.workaround.patch    2024-07-02 08:53:27.302432000 +0200
@@ -7,7 +7,7 @@
 
 --- configure
 +++ configure
-@@ -17528,14 +17528,13 @@
+@@ -17713,14 +17713,13 @@
  printf "%s\n" "#define HAVE_GETPAGESIZE 1" >>confdefs.h
 
  else $as_nop
@@ -25,7 +25,7 @@
  cat confdefs.h - <<_ACEOF >conftest.$ac_ext
  /* end confdefs.h.  */
 
-@@ -17553,19 +17552,19 @@
+@@ -17738,19 +17737,19 @@
  _ACEOF
  if ac_fn_c_try_link "$LINENO"
  then :
--- make/pkgs/openssh/patches/current/020-silence_retpolineplt_is_ignored.patch    2024-03-16 07:46:03.000000000 +0100
+++ make/pkgs/openssh/patches/current/020-silence_retpolineplt_is_ignored.patch    2024-07-02 08:53:27.330431000 +0200
@@ -1,6 +1,6 @@
 --- configure
 +++ configure
-@@ -10166,6 +10166,7 @@
+@@ -10328,6 +10328,7 @@
  fi
  rm -f core conftest.err conftest.$ac_objext conftest.beam conftest.$ac_ext
  } # clang
@@ -8,7 +8,7 @@
      {
      { printf "%s\n" "$as_me:${as_lineno-$LINENO}: checking if $LD supports link flag -Wl,-z,retpolineplt" >&5
  printf %s "checking if $LD supports link flag -Wl,-z,retpolineplt... " >&6; }
-@@ -15491,6 +15492,7 @@
+@@ -15674,6 +15675,7 @@
  fi
  rm -f core conftest.err conftest.$ac_objext conftest.beam conftest.$ac_ext
  }
--- make/pkgs/openssh/patches/current/150-extra_flags.patch    2023-10-19 05:18:48.000000000 +0200
+++ make/pkgs/openssh/patches/current/150-extra_flags.patch    2024-07-02 08:53:27.358431000 +0200
@@ -1,6 +1,6 @@
 --- Makefile.in
 +++ Makefile.in
-@@ -44,8 +44,8 @@
+@@ -46,8 +46,8 @@
 
  CC=@CC@
  LD=@LD@
@@ -11,7 +11,7 @@
  CPPFLAGS=-I. -I$(srcdir) @CPPFLAGS@ $(PATHS) @DEFS@
  PICFLAG=@PICFLAG@
  LIBS=@LIBS@
-@@ -61,8 +61,8 @@
+@@ -63,8 +63,8 @@
  INSTALL=@INSTALL@
  SED=@SED@
  XAUTH_PATH=@XAUTH_PATH@
--- make/pkgs/openssh/patches/current/200-disable-chroot-check.patch    2024-03-16 07:46:03.000000000 +0100
+++ make/pkgs/openssh/patches/current/200-disable-chroot-check.patch    2024-07-02 08:53:27.378430000 +0200
@@ -1,6 +1,6 @@
 --- session.c
 +++ session.c
-@@ -1330,6 +1330,15 @@
+@@ -1319,6 +1319,15 @@
 
          debug3_f("checking '%s'", component);

für sein Linux System

Spoiler

#! /bin/bash
# by SaMMy 02.07.2024
# Already tested on Ubuntu 22.04 and 24.04
# Check the latest version at https://ftp.openbsd.org/pub/OpenBSD/OpenSSH/portable/
VERSION=9.8p1
MAX_CPUS="$(getconf _NPROCESSORS_ONLN)";

cd ~

wget https://ftp.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-${VERSION}.tar.gz
tar -xzvf openssh-${VERSION}.tar.gz
rm -f openssh-${VERSION}.tar.gz
cd openssh-${VERSION}
sudo apt update
sudo apt install build-essential zlib1g-dev libssl-dev
sudo mkdir /var/lib/sshd
sudo chmod -R 700 /var/lib/sshd/
sudo chown -R root:sys /var/lib/sshd/
sudo apt install libpam0g-dev libselinux1-dev libkrb5-dev -y
./configure --with-kerberos5 --with-md5-passwords --with-pam --with-selinux --with-privsep-path=/var/lib/sshd/ --sysconfdir=/etc/ssh
make -j${MAX_CPUS}
sudo make install
sudo ldconfig

cd ~

rm -rf openssh-${VERSION}
ssh -V