Une nouvelle vulnérabilité d’OpenSSH expose les systèmes Linux à l’injection de commandes à distance.

« Cette vulnérabilité permet à un attaquant distant d’exécuter des commandes arbitraires sur l’agent ssh transmis par OpenSSH », a déclaré Saeed Abbasi, responsable de la recherche sur les vulnérabilités chez Qualys, dans une analyse publiée la semaine dernière.

La vulnérabilité est répertoriée sous l’identifiant CVE CVE-2023-38408 (CVSS score : N/A). Elle concerne toutes les versions d’OpenSSH antérieures à 9.3p2.

OpenSSH est un outil de connectivité populaire pour la connexion à distance avec le protocole SSH qui est utilisé pour crypter tout le trafic afin d’éliminer l’écoute, le détournement de connexion et d’autres attaques.

Une exploitation réussie nécessite la présence de certaines bibliothèques sur le système victime et que l’agent d’authentification SSH soit transmis à un système contrôlé par l’attaquant. L’agent SSH est un programme d’arrière-plan qui conserve les clés des utilisateurs en mémoire et facilite les connexions à distance à un serveur sans qu’il soit nécessaire d’entrer à nouveau leur phrase de passe.

« En parcourant le code source de ssh-agent, nous avons remarqué qu’un attaquant distant, qui a accès au serveur distant vers lequel le ssh-agent d’Alice est transféré, peut charger (dlopen()) et immédiatement décharger (dlclose()) n’importe quelle bibliothèque partagée dans /usr/lib* sur le poste de travail d’Alice (via son ssh-agent transféré, s’il est compilé avec ENABLE_PKCS11, ce qui est le cas par défaut) », a expliqué Qualys.

L’entreprise de cybersécurité a déclaré qu’elle avait pu concevoir une preuve de concept réussie contre les installations par défaut d’Ubuntu Desktop 22.04 et 21.10, bien que d’autres distributions de Linux devraient également être vulnérables.

Il est fortement conseillé aux utilisateurs d’OpenSSH de mettre à jour la version la plus récente afin de se prémunir contre les cybermenaces potentielles.

Au début du mois de février, les responsables d’OpenSSH ont publié une mise à jour pour remédier à une faille de sécurité de gravité moyenne (CVE-2023-25136, CVSS score : 6.5) qui pourrait être exploitée par un attaquant distant non authentifié pour modifier des emplacements de mémoire inattendus et théoriquement réaliser une exécution de code.

Une version ultérieure en mars a corrigé un autre problème de sécurité qui pouvait être exploité au moyen d’une réponse DNS spécifiquement conçue pour effectuer une lecture hors limites des données de la pile adjacente et provoquer une attaque par déni de service contre le client SSH.