Eine kritische Sicherheitslücke in OpenSSH bedroht Millionen Server weltweit

MÜNCHEN (IT BOLTWISE) – Eine kritische Sicherheitslücke in der Dateiübertragungssoftware OpenSSH bedroht Millionen Server weltweit und ermöglicht Remotecodeausführung. Qualys warnt vor möglichen Root-Zugriffen.

Der Sicherheitsanbieter Qualys hat eine gravierende Sicherheitslücke in der Dateiübertragungssoftware OpenSSH entdeckt. Diese als „regreSSHion“ bezeichnete Schwachstelle mit der Kennung CVE-2024-6387 erlaubt eine nicht authentifizierte Remotecodeausführung auf OpenSSH-Servern, die auf glibc-basierten Linux-Systemen ausgeführt werden. Dadurch können Angreifer möglicherweise vollständigen Root-Zugriff auf die betroffenen Server erlangen.

Laut Qualys tritt die Anfälligkeit bereits in der Standardkonfiguration von OpenSSH auf. Es ist keine Interaktion mit einem Nutzer notwendig, um die Schwachstelle auszunutzen, was das Risiko erheblich erhöht.

OpenSSH gilt als De-facto-Standard für sicheren Fernzugriff und Dateiübertragung in Unix-ähnlichen Systemen, einschließlich Linux und macOS. Für Systemadministratoren und Entwickler weltweit ist es das Schweizer Taschenmesser der sicheren Kommunikation.

Besonders angreifbar sind die OpenSSH-Versionen 8.5p1 bis einschließlich 9.8p1. Versionen ab 4.4p1 und vor 8.5p1 sind hingegen nicht betroffen. Allerdings sind ältere Versionen vor 4.4p1 anfällig, falls sie nicht für CVE-2006-5051 und CVE-2008-4109 gepatcht wurden.

Qualys hat über 14 Millionen potenziell verwundbare OpenSSH-Server-Instanzen im Internet gefunden. Schätzungsweise 700.000 dieser externen, dem Internet zugewandten Instanzen sind definitiv verwundbar.

Ein Patch für diese Schwachstelle liegt derzeit noch nicht vor. Als Behelfslösung empfiehlt Qualys, die LoginGraceTime in der sshd-Konfigurationsdatei auf 0 zu setzen (standardmäßig befindet sich diese Datei in /etc/ssh/sshd_config). Diese Maßnahme ist keine perfekte Lösung, da sie zwar Exploits verhindert, die Systeme jedoch potenziellen Denial-of-Service-Angriffen (DoS) aussetzt.