Connectrix B-Series: Es posible que Seccryptocfg no actualice correctamente la configuración de SSHD si se cambian varios parámetros de SSH simultáneamente
Summary: En este artículo, se proporciona una solución alternativa cuando "Seccryptocfg" no actualiza correctamente la configuración de SSHD.
Symptoms
Cuando un usuario ejecuta seccryptocfg para cambiar varios parámetros de SSH (cipher, kex, mac) en el mismo comando, es posible que la configuración de SSHD no se actualice correctamente o que el proceso de SSHD no se reinicie. El resultado del comando seccryptocfg puede mostrar que SSH está configurado según lo deseado, pero es posible que la configuración mostrada no sea eficaz.
Después de cambiar los parámetros de SSH, seccryptocfg puede mostrar SSH configurado de manera diferente a la configuración de SSHD en ejecución.
Por lo general, esto se observa cuando se actualizan los parámetros de SSH para resolver vulnerabilidades de análisis de seguridad informadas. Después de que un usuario deshabilita los elementos vulnerables y ya no se muestran en la salida del comando seccryptocfg , es posible que los análisis de seguridad continúen informándolos, ya que el proceso de SSHD no se actualizó correctamente.
Cause
El comando seccryptocfg intenta reiniciar el proceso SSHD después de cada cambio de un parámetro SSH (cipher, kex, mac) y, cuando se configuran varios parámetros en el mismo comando, la sesión SSH del usuario puede finalizar antes de que todos los parámetros SSH se hayan actualizado en los archivos de configuración subyacentes o la sesión SSH puede finalizar antes de que SSHD se reinicie.
Versión de software afectada: v8.2.2c y anteriores
Resolution
Solución alternativa:
Hay un par de soluciones alternativas disponibles:
-
Cuando utilice seccryptocfg para actualizar los parámetros de SSH, cambie solo un parámetro a la vez.
Por ejemplo, el siguiente comando actualiza los parámetros "cipher" y "kex" en el mismo comando, y es posible que se produzca este problema:
seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384
Dividir el comando anterior en los dos comandos siguientes evita este problema:
seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr
seccryptocfg --replace -type SSH -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384
-
Otra forma de evitar el problema es utilizar el comando seccryptocfg en una sesión de Telnet o en una conexión de puerto de consola serial.
Solución:
Actualice a FOS v8.2.2d, FOS v9.0.0 o posterior y, a continuación, ejecute el comando seccryptocfg .