Updates schließen 19 Jahre alte Sicherheitslücke in Remote-Tool OpenSSH
Zusammenfassung
Qualys meldete 2018 eine Lücke in OpenSSH (CVE-2018-15473), die seit der ersten Version von 1999 bestand. Angreifer konnten mit präparierten Paketen aus der Ferne prüfen, ob ein Benutzername existiert, weil der Server bei gültigen Namen die Verbindung anders beendete. Die Lücke galt nicht als kritisch, lieferte aber Material für gezielte Passwortangriffe.
Ideen
- Unterschiedliches Verhalten bei gültigen und ungültigen Namen verrät Benutzerkonten.
- Bekannte Benutzernamen machen Brute-Force-Angriffe effizienter.
- Proof-of-Concept-Code kursierte bereits bei Veröffentlichung.
- Flächendeckende Updates sind wegen der Verbreitung von OpenSSH kaum zu erreichen.
Einsichten
- Auch kleine Informationslecks werden zum Baustein größerer Angriffe.
- Die Sicherheit von SSH hängt stärker an der Anmeldemethode als an der Geheimhaltung von Namen.
Fakten
- Sekurak hatte die Lücke noch vor Qualys an die OpenSSH-Entwickler gemeldet.
- Betroffen waren alle OpenSSH-Versionen seit 1999.
Referenzen
Kritik
- Die genannten Paketversionen stammen aus einer Distribution und lassen offen, welche Upstream-Version korrigiert ist.
Empfehlungen
- Erlaube SSH-Anmeldung nur per Schlüssel und deaktiviere Passwortanmeldung.
- Begrenze Anmeldeversuche, etwa mit fail2ban oder Firewallregeln.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.