| 您当前位置：保定理工学院 >> 信息技术中心 >> 网络安全 >> 浏览文章 |
|
OpenSSH服务器未授权远程代码执行漏洞风险提示(CVE-2023-25136) 【网络安全】 加入时间：2023年02月20日 信息来源：本站原创 作者：admin 访问量： |
一、漏洞通告 近日，监测到OpenSSH官方发布了安全更新，修复了OpenSSH中的未授权远程代码执行漏洞(CVE-2023-25136)，CVSS评分9.8。在默认配置中，未经身份验证的攻击者可以触发双重释放，从而在远程服务器上执行任意代码。此漏洞影响范围广泛，目前官方发布安全版本，建议受影响的用户尽快采取安全措施。 相关链接参考： https://github.com/openssh/openssh-portable/commit/12da7823336434a403f25c7cc0c2c6aed0737a35 二、影响范围 受影响版本： OpenSSH server=9.1 不受影响版本： OpenSSH server>=9.2 三、漏洞描述 OpenSSH是一种用于安全通信和远程访问的流行工具。它是作为 Secure Shell (SSH) 通信协议的免费开源实现而开发的，广泛用于各种应用程序。 OpenSSH未授权远程代码执行漏洞(CVE-2023-25136)：OpenSSH服务在针对putty老版本等客户端连接时做了兼容处理，导致compat_kex_proposal函数在options.kex_algorithms处理时存在双重释放漏洞。未经身份验证的攻击者可以触发双重释放，从而在远程服务器上执行任意代码。 四、影响范围 高危：目前漏洞细节和测试代码已公开，建议受影响用户及时升级到安全版本。官方建议： 目前官方已发布安全版本修复上述漏洞，建议受影响的用户升级至安全版本。下载链接： https://ftp.openbsd.org/pub/OpenBSD/patches/7.2/common/017_sshd.patch.sig 来源：openSSH官网 |