Los desarrolladores de OpenSSH han publicado actualizaciones de seguridad para corregir un fallo de seguridad crítico que podría resultar en la ejecución remota de código (RCE) no autenticado con privilegios de root en sistemas Linux basados en glibc. En concreto, el fallo reside en el servidor SSH y Qualys avisa que ha identificado en Shodan y Censys al menos 14 millones de instancias vulnerables expuestas en Internet.

"La vulnerabilidad, que es una condición de carrera en el servidor OpenSSH (sshd), permite la ejecución remota de código (RCE) no autenticado como root en sistemas Linux basados en glibc", dijo Bharat Jogi de Qualys. "Esta condición de carrera afecta a sshd en su configuración predeterminada".

A la vulnerabilidad se le ha asignado el identificador CVE-2024-6387 y, comentan además, que es una regresión de un fallo de 18 años ya parcheado para la vulnerabilidad CVE-2006-5051, y que el problema se restableció en octubre de 2020, a partir de la versión 8.5p1 de OpenSSH. De ahí el nombre regreSSHion...

La vulnerabilidad afecta a las versiones entre 8.5p1 y 9.7p1. Las versiones anteriores a la 4.4p1 también son vulnerables al error de condición de carrera a menos que estén parcheadas para CVE-2006-5051 y CVE-2008-4109. Vale la pena señalar que los sistemas OpenBSD no se ven afectados ya que incluyen un mecanismo de seguridad que bloquea esta vulnerabilidad.

Específicamente, Qualys descubrió que si un cliente no se autentica dentro de los 120 segundos (una configuración definida por LoginGraceTime), entonces el controlador SIGALRM de sshd se llama de forma asíncrona de una manera que no es segura para señales asíncronas.

Ya están apareciendo las primeras PoCs: https://github.com/acrono/cve-2024-6387-poc

Mitigación