Одминский блог

Брутфорс уязвимость сервера OpenSSH

Буквально на днях обнаружился весьма неприятный и опасный баг системы OpenSSH, использующей keyboard-interactive метод аутентификации. Данная уязвимость позволяет обойти дефотную защиту сервера OpenSSH рвущую соединение при нескольких попытках неправильного логина, и запулить в одну сессию ожидания логина (LoginGraceTime по дефолту 2 минуты) десятки тысяч паролей, что значительно упрощает процедуру брутфорса SSH сервера.

Данной уязвимости подвержены все серверы семейства *nix, включая FreeBSD на которой данный метод аутентификации является дефолтным.

На блоге исследователя, обнаружившего уязвимость, приводится пример команды, позволяющей перебрать 10к паролей в течении 2 минут ожидания авторизационных данных LoginGraceTime, что в принципе достаточно для атаки на любой простой пароль с использованием имеющихся словарей

ssh -lusername -oKbdInteractiveDevices=`perl -e ‘print “pam,” x 10000′` targethost

Ключевой момент состоит в том, что команда открывает 10к запросов keyboard-interactive devices перебирающих пароли до того момента как их число не будет превышено или не истечет счетчик ожидания аутентификации.

Защититься от подобного вида атак пока можно только по старинке:
1. сменой дефолтных портов ssh
2. используя сертификаты
3. используя слодные и стойкие к брутфорс атаке пароли
4. уменишить LoginGraceTime до 20 секунд
5. использовать сторонние утилиты Fail2Ban или Pam-Shield для ограничения количества неправильных логинов

Самое забавное в этом, что не так давно в Facebook был легких срач с представителем мелкомягких относительно новости о том, что  Microsoft собирается инвестировать в разработку OpenSSH для того чтобы утащить сервер на свои продукты.

И вот результат не заставил себя долго ждать. Уязвимость пока присутствует во всех версиях OpenSSH.

Теги: ssh, Unix