Connectrix B-Series: Seccryptocfg może nie aktualizować poprawnie konfiguracji SSHD, jeśli wiele parametrów SSH zostanie zmienionych jednocześnie.

Gdy użytkownik uruchamia seccryptocfg w celu zmiany wielu parametrów SSH (cipher, kex, mac) w tym samym poleceniu, konfiguracja SSHD może nie zostać poprawnie zaktualizowana lub proces SSHD może nie zostać ponownie uruchomiony. Dane wyjściowe polecenia seccryptocfg mogą wskazywać, że SSH jest skonfigurowany zgodnie z oczekiwaniami, ale wyświetlana konfiguracja może nie być skuteczna.

Po zmianie parametrów SSH seccryptocfg może pokazywać SSH skonfigurowany inaczej niż uruchomiona konfiguracja SSHD.

Jest to zwykle widoczne podczas aktualizowania parametrów SSH w celu usunięcia zgłoszonych luk w zabezpieczeniach skanowania bezpieczeństwa. Gdy użytkownik wyłączy elementy narażone na ataki, gdy nie będą one już wyświetlane w danych wyjściowych polecenia seccryptocfg , skanowania zabezpieczeń mogą nadal je zgłaszać, ponieważ proces SSHD nie został poprawnie zaktualizowany.

Polecenie seccryptocfg próbuje ponownie uruchomić proces SSHD po każdej zmianie parametru SSH (cipher, kex, mac), a jeśli w tym samym poleceniu skonfigurowano wiele parametrów, sesja SSH użytkownika może zostać zakończona przed zaktualizowaniem wszystkich parametrów SSH w podstawowych plikach konfiguracyjnych lub sesja SSH może zostać zakończona przed ponownym uruchomieniem SSHD.

Wersja oprogramowania, której dotyczy problem: v8.2.2c i starsze

Obejście problemu:

Dostępnych jest kilka obejść problemu:

• W przypadku używania seccryptocfg do aktualizowania parametrów SSH zmieniaj tylko jeden parametr na raz.

  Na przykład następujące polecenie aktualizuje parametry "cipher" i "kex" w tym samym poleceniu i może wystąpić ten problem:

  seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr  -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384

  Podział powyższego polecenia na następujące dwa polecenia pozwala uniknąć tego problemu:

  seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr

  seccryptocfg --replace -type SSH -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384

• Innym sposobem uniknięcia tego problemu jest użycie polecenia seccryptocfg w sesji telnet lub w połączeniu szeregowym przez port konsoli.

Rozwiązanie:

Uaktualnij FOS do wersji 8.2.2d, 9.0.0 lub nowszej, a następnie uruchom polecenie seccryptocfg .