Connectrix B-Series : Seccryptocfg peut ne pas mettre à jour correctement la configuration SSHD si plusieurs paramètres SSH sont modifiés simultanément

Lorsqu’un utilisateur exécute seccryptocfg pour modifier plusieurs paramètres SSH (chiffrement, kex, mac) dans la même commande, la configuration SSHD peut ne pas être mise à jour correctement ou le processus SSHD peut ne pas redémarrer. Le résultat de la commande seccryptocfg peut indiquer que SSH est configuré comme vous le souhaitez, mais la configuration affichée peut ne pas être effective.

Après avoir modifié les paramètres SSH, seccryptocfg peut afficher SSH configuré différemment de la configuration SSHD en cours d’exécution.

Cela se produit généralement lors de la mise à jour des paramètres SSH pour résoudre les failles de sécurité signalées. Une fois qu’un utilisateur a désactivé les éléments vulnérables et qu’ils ne s’affichent plus dans la sortie de la commande seccryptocfg , les analyses de sécurité peuvent continuer à les signaler, car le processus SSHD n’a pas été mis à jour correctement.

La commande seccryptocfg tente de redémarrer le processus SSHD après chaque modification d’un paramètre SSH (chiffrement, kex, mac), et lorsque plusieurs paramètres sont configurés dans la même commande, la session SSH de l’utilisateur peut être interrompue avant que tous les paramètres SSH n’aient été mis à jour dans les fichiers de configuration sous-jacents ou la session SSH peut se terminer avant le redémarrage de SSHD.

Version logicielle concernée : v8.2.2c et versions antérieures

Solution de contournement :

Il existe deux solutions de contournement disponibles :

• Lorsque vous utilisez seccryptocfg pour mettre à jour les paramètres SSH, ne modifiez qu’un paramètre à la fois.

  Par exemple, la commande suivante met à jour les paramètres « cipher » et « kex » dans la même commande et peut rencontrer ce problème :

  seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr  -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384

  Le découpage de la commande ci-dessus en deux commandes suivantes permet d’éviter ce problème :

  seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr

  seccryptocfg --replace -type SSH -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384

• Une autre façon d’éviter ce problème consiste à utiliser la commande seccryptocfg dans une session Telnet ou une connexion de port de console série.

Résolution :

Effectuez une mise à niveau vers FOS v8.2.2d ou FOS v9.0.0 ou une version ultérieure, puis exécutez la commande seccryptocfg .