Уязвимост в пакетите с OpenSSH от състава на RHEL 9, допускаща отдалечено изпълнение на код.

В процеса на изучаване на критичната уязвимост в OpenSSH, открита миналата седмица, беше установена още една подобна уязвимост (CVE-2024-6409), която позволява отдалечено изпълнение на код без необходимост от аутентификация. Новата уязвимост не е толкова опасна, колкото предишната, тъй като се проявява след сброс на привилегиите в дочерния процес на стартирания SSH сървър. Уязвимостта присъства в пакетите openssh за дистрибуцията Red Hat Enterprise Linux 9, базирани на публикуваното през 2021 година издание OpenSSH 8.7. Проблемът засяга също пакети за Fedora Linux 36 и 37, базирани на версиите OpenSSH 8.7 и 8.8.

По същество, уязвимостта е аналогична на предишния проблем и също така е предизвикана от състояние на гонка в обработчика на прекъсвания SIGALRM, възникващо поради изпълнението на функции, не предназначени за асинхронно извикване от обработчици на сигнали. Обработчикът задейства при изтичане на времето, определено чрез параметъра LoginGraceTime, и прекратява текущото изпълнение на кода. Използването на функции, не проектирани за асинхронно изпълнение в обработващите прекъсвания, при които се използва динамично разпределение на памет, като syslog(), може да доведе до повреждане на вътрешните структури malloc при задействане на SIGALRM по време на изпълнението на определен код.

Новата уязвимост се отличава с това, че състоянието на гонка възниква поради извикването на функцията cleanup_exit() в обработчика на сигнала grace_alarm_handler(). В основната кодова база на OpenSSH тази функция може да се използва в асинхронно изпълняван код, но в пакетите за RHEL 9 и Fedora е приложен допълнителен патч, който добавя в cleanup_exit() извикване на функция за генериране на събития на одит, предназначена за използване в обработчици на сигнали.

Данный патч использовался в RHEL 9 и производных дистрибутивах в пакетах, основанных на OpenSSH 8.7p1. В актуальных выпусках Fedora проблема не проявляется, так как начиная с Fedora 38 дистрибутив перешёл на более новую версию OpenSSH без изменения cleanup_exit(). В отличие от прошлой уязвимости, для блокирования новой проблемы не подходит обходной способ защиты, основанный на использовании в sshd опции «-e», отключающей вывод лога через syslog. Но при этом для блокирования уязвимости в sshd_config можно выставить параметр «LoginGraceTime=0».

Източник: opennet.ru