修复 Qualys 报告的 OpenSSH 8.7 “regreSSHion” Vulnerable SSH-2.0-OpenSSH_8.7 detected on port 22 over TCP.

     您是否在最近的 Qualys 安全扫描报告中看到了这样一条警报：“Vulnerable SSH-2.0-OpenSSH_8.7 detected on port 22 over TCP”？如果答案是肯定的，那么您需要立即行动起来。这不仅仅是一个普通的警告，它指向一个名为 “regreSSHion” 的高危漏洞，可能让您的服务器面临被远程完全控制的巨大风险。

在这篇博文中，我们将深入解析这个漏洞的严重性，并为您提供清晰、可操作的修复指南，帮助您快速加固系统，抵御潜在的网络攻击。

漏洞聚焦：什么是 “regreSSHion” (CVE-2024-6387)？

      Qualys 报告中提到的 OpenSSH 8.7 漏洞，其核心指向了近期被披露的 CVE-2024-6387，安全社区也称之为 “regreSSHion”。这个名字巧妙地揭示了它的本质——一个在旧版本中已被修复，却在后续版本中意外“回归”的严重缺陷。

漏洞类型： 远程代码执行 (Remote Code Execution, RCE)

影响版本： OpenSSH 8.5p1 至 9.8p1

威胁级别： 严重 (Critical)

漏洞原理简述

该漏洞存在于 OpenSSH 服务器（sshd）处理登录宽限期（LoginGraceTime）的信号处理机制中。简单来说，未经身份验证的远程攻击者可以利用这个缺陷，通过发送特定构造的网络请求来触发一个“竞争条件”。如果成功利用，攻击者将可能在您的服务器上以最高权限（root）执行任意恶意代码。

除了 CVE-2024-6387，OpenSSH 8.7 还受到其他相关漏洞的影响，例如 CVE-2024-6409 (竞争条件) 和 CVE-2016-20012 (用户枚举)，这些都增加了系统的攻击面。

风险有多大？潜在的影响

一旦攻击者成功利用此漏洞，后果不堪设想：

• 服务器完全沦陷： 攻击者获得 root 权限，等同于交出了服务器的“万能钥匙”，可以为所欲为。

• 核心数据泄露： 服务器上存储的所有敏感信息，包括客户资料、财务数据、源代码和数据库，都将面临被窃取或公开的风险。

• 内部网络跳板： 被攻陷的服务器将成为攻击者渗透您整个内部网络的绝佳跳板。

• 服务中断与勒索： 攻击者可以轻易地让您的业务服务中断，或部署勒索软件进行敲诈。

行动指南：如何彻底修复漏洞？

为了消除这一重大安全隐患，我们强烈建议您遵循以下步骤操作。

方案一：立即升级 OpenSSH (首选)

这是最直接、最彻底的解决方案。将 OpenSSH 升级到已修复此漏洞的最新稳定版本，可以一劳永逸地解决问题。

1. 检查当前版本：

ssh -V

如果版本在 8.5p1 和 9.8p1 之间，您就需要立即升级。

2. 执行升级命令：

• 对于 Debian/Ubuntu 系统：

  sudo apt-get update
  sudo apt-get install --only-upgrade openssh-server openssh-client
  

• 对于 Red Hat/CentOS/Fedora 系统：

  sudo yum update openssh
  # 或者对于较新的系统
  sudo dnf update openssh
  

3. 重启 SSH 服务：

升级完成后，务必重启 SSH 服务以加载新版本。

sudo systemctl restart sshd

方案二：紧急缓解措施 (当无法立即升级时)

如果您因业务限制等原因无法马上进行升级，可以采取以下临时缓解措施。请注意：这只是权宜之计，您仍需尽快规划升级。

此方法通过禁用导致漏洞的“登录宽限期”来阻止攻击。

1. 编辑 SSH 配置文件：

使用您喜欢的编辑器（如 vim 或 nano）打开 sshd_config 文件。

sudo nano /etc/ssh/sshd_config

2. 修改参数：

在文件中找到 LoginGraceTime 这一行（如果不存在，请在末尾添加），并将其值设置为 0。

LoginGraceTime 0

3. 保存并重启服务：

保存文件后，重启 SSH 服务使配置生效。

sudo systemctl restart sshd

这个设置会禁用登录宽限期，从而有效阻止 CVE-2024-6387 和 CVE-2024-6409 漏洞的利用。

安全加固：不止于修复漏洞

在修复漏洞之后，我们还建议您采取以下措施，进一步提升服务器的安全性：

• 防火墙策略： 配置严格的防火墙规则，仅允许来自可信 IP 地址的 SSH 访问请求。

• 禁用密码登录： 优先使用更安全的 SSH 密钥对进行身份验证，并在 sshd_config 中禁用密码登录 (PasswordAuthentication no)。

• 定期审计日志： 养成定期检查 /var/log/auth.log 或类似日志文件的习惯，监控任何异常登录尝试。

总结

Qualys 报告的 OpenSSH 8.7 漏洞是一个真实且迫在眉睫的威胁。面对 “regreSSHion” 这样的高危漏洞，任何的疏忽都可能导致灾难性的后果。请立即行动，检查您的服务器，并按照本文的指南完成升级或缓解措施。保障系统安全，刻不容缓。

---