Terrapin — уязвимост в протокола SSH, която позволява да се намали защитата на връзката

Группа исследователей из Рурского университета в Бохуме (Германия) представила новую технику MITM-атаки на SSH — Terrapin, эксплуатирующую уязвимость (CVE-2023-48795) в протоколе. Атакующий, способный организовать MITM-атаку, имеет возможность в процессе согласования соединения блокировать отправку сообщения с настройкой расширений протокола для снижения уровня защиты соединения. Прототип инструментария для совершения атаки опубликован на GitHub.

В контекста на OpenSSH, уязвимостта позволява, например, да се върне връзката на използване на по-слабо защитени алгоритми за удостоверяване и да се деактивира защитата от атаки през вторични канали, които възпроизвеждат входа чрез анализ на закъсненията между натисканията на клавишите. В Python библиотеката AsyncSSH в комбинация с уязвимостта (CVE-2023-46446) в реализацията на вътрешния автомат (internal state machine), атаката Terrapin предлага възможност за намеса в SSH-сесия.

Уязвимостта засяга всички реализации на SSH, които поддържат ChaCha20-Poly1305 или шифри в режим CBC в съчетание с режима ETM (Encrypt-then-MAC). Например, подобни възможности съществуват в OpenSSH от повече от 10 години. Уязвимостта е блокирана в днешното издание на OpenSSH 9.6, както и в обновленията на PuTTY 0.80, libssh 0.10.6/0.9.8 и AsyncSSH 2.14.2. В Dropbear SSH поправката вече е добавена в кода, но новото издание все още не е формулирано.

Уязвимостта е резултат от това, че атакуващият, който контролира трафика на връзката (например, собственик на злонамерена безжична точка), може да коригира порядковите номера на пакетите по време на процеса на удостоверяване и да постигне незабележимо изтриване на произволен брой служебни SSH-съобщения, изпратени от клиента или сървъра.. Освен това, атакуващият може да изтрие съобщенията SSH_MSG_EXT_INFO, които се използват за настройване на активните разширения на протокола. За да не може другата страна да разпознае липсата на пакет заради разликата в порядковите номера, атакуващият инициира изпращането на фалшив пакет с същия порядков номер като този на изтрития пакет. Фалшивият пакет съдържа съобщение с флаг SSH_MSG_IGNORE, което се игнорира при обработката.

Атаката не може да бъде проведена при използване на потокови шифри и CTR, тъй като нарушението на интегритета ще бъде установено на ниво приложение. На практика, уязвим е само шифъра ChaCha20-Poly1305 (chacha20-poly1305@openssh.com), при който състоянието се проследява единствено по редовите номера на съобщенията, както и комбинацията от режима Encrypt-Then-MAC (*-etm@openssh.com) и шифрите CBC.

В OpenSSH 9.6 и других реализациях для блокирования атаки реализовано расширение протокола «strict KEX», которое автоматически включается при наличии поддержки на стороне сървър и клиента. Разширението приключва съединението при получаване на всякакви неразрешени или ненужни съобщения (например, с флага SSH_MSG_IGNORE или SSH2_MSG_DEBUG), получени по време на договарянето на съединението, и също така нулира брояча на MAC (Message Authentication Code) след завършване на всяко обмен на ключове.

Източник: opennet.ru