升级SSH

相比大伙都知道SSH爆了大漏洞，不知道也没关系，这里有写：

近 20 年来 OpenSSH 的第一个高危 RCE
Qualys 威胁研究部门（TRU）在基于 glibc 的 Linux 系统中的 OpenSSH 服务器（sshd）中发现了一个远程未经身份验证的代码执行（RCE）漏洞。分配给此漏洞的CVE为CVE-2024-6387。
该漏洞是 OpenSSH 服务器（sshd）中的信号处理程序争用条件，允许在基于 glibc 的 Linux 系统上以 root 身份执行未经身份验证的远程代码执行（RCE）;这带来了重大的安全风险。此争用条件会影响 sshd 的默认配置。
受影响版本：
version < 4.4p1

8.5p1 <= version < 9.8p1
如果 sshd 无法更新或重新编译，请在配置文件中将 LoginGraceTime 设置为 0。这会通过用完所有 MaxStartups 连接将 sshd 暴露在拒绝服务中，但它可以防止远程代码执行风险。
https://blog.qualys.com/vulnerabilities-threat-research/2024/07/01/regresshion-remote-unauthenticated-code-execution-vulnerability-in-openssh-server

这里写一下SSH更新方法：

sudo apt-get update
sudo apt-get install -y build-essential zlib1g-dev libssl-dev

wget https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-9.8p1.tar.gz

tar -xzf openssh-9.8p1.tar.gz
cd openssh-9.8p1

./configure
make
sudo make install

#备份原来的sshd
mv /usr/sbin/sshd /usr/sbin/sshd.old
#复制二进制文件
cp /usr/local/sbin/sshd /usr/sbin/sshd
#重启sshd服务
sudo systemctl restart sshd

#备份原来的组件
mv /usr/bin/ssh /usr/bin/ssh.old

mv /usr/bin/ssh-keygen /usr/bin/ssh-keygen.old

#更新ssh客户端
cp /usr/local/bin/ssh /usr/bin/ssh
#更新密钥生成组件
cp /usr/local/bin/ssh-keygen /usr/bin/ssh-keygen

评论