Connectrix B-Serien: Det kan hende at seccryptocfg ikke oppdaterer SSHD-konfigurasjonen på riktig måte hvis flere SSH-parametere endres samtidig

Når en bruker kjører seccryptocfg for å endre flere SSH-parametere (chiffer, kex, mac) i samme kommando, kan det hende at SSHD-konfigurasjonen ikke oppdateres riktig, eller at SSHD-prosessen ikke starter på nytt. Utdataene fra seccryptocfg-kommandoen kan vise at SSH er konfigurert som ønsket, men den viste konfigurasjonen er kanskje ikke effektiv.

Etter endring av SSH-parametere, kan seccryptocfg vise SSH konfigurert annerledes enn hva den kjørende SSHD-konfigurasjonen er.

Dette oppstår vanligvis når du oppdaterer SSH-parametere for å løse rapporterte sikkerhetsskanningssårbarheter. Når en bruker deaktiverer de sårbare elementene, og de ikke lenger vises i utdataene fra seccryptocfg-kommandoen , kan sikkerhetsskanningene fortsette å rapportere dem siden SSHD-prosessen ikke ble oppdatert på riktig måte.

seccryptocfg-kommandoen prøver å starte SSHD-prosessen på nytt etter hver endring av en SSH-parameter (chiffer, kex, mac), og når flere parametere er konfigurert i samme kommando, kan brukerens SSH-økt avsluttes før alle SSH-parametere er oppdatert i de underliggende konfigurasjonsfilene, eller SSH-økten kan avsluttes før SSHD starter på nytt.

Versjon av berørt programvare: v8.2.2c og eldre versjoner

Midlertidig løsning:

Det finnes et par tilgjengelige løsninger:

• Når du bruker seccryptocfg til å oppdatere SSH-parametere, må du bare endre én parameter om gangen.

  For eksempel oppdaterer følgende kommando både parameterne 'chiffer' og 'kex' i samme kommando, og kan støte på dette problemet:

  seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr  -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384

  Ved å bryte kommandoen ovenfor i følgende to kommandoer unngår du dette problemet:

  seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr

  seccryptocfg --replace -type SSH -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384

• En annen måte å unngå problemet på er å bruke seccryptocfg-kommandoen i enten en telnet-økt eller en seriell konsollporttilkobling.

Løsning:

Oppgrader til FOS v8.2.2d eller FOS v9.0.0 eller nyere, og kjør deretter kommandoen seccryptocfg .