Connectrix Série B: Seccryptocfg pode não atualizar corretamente a configuração SSHD se vários parâmetros SSH são alterados simultaneamente
Summary: Este artigo apresenta uma solução temporária quando "Seccryptocfg" não atualiza corretamente a configuração SSHD.
Symptoms
Quando um usuário executa seccryptocfg para alterar vários parâmetros SSH (cifra, kex, mac) no mesmo comando, a configuração SSHD pode não ser atualizada corretamente ou o processo SSHD pode não reiniciar. A saída do comando seccryptocfg pode mostrar que o SSH está configurado conforme desejado, mas a configuração exibida pode não ser eficaz.
Depois de alterar os parâmetros SSH, seccryptocfg pode mostrar o SSH configurado de forma diferente do que é a configuração SSHD em execução.
Isso geralmente é visto ao atualizar parâmetros SSH para resolver vulnerabilidades de verificação de segurança relatadas. Depois que um usuário desabilita os itens vulneráveis e eles não são mais exibidos na saída do comando seccryptocfg , as verificações de segurança podem continuar a reportá-los, pois o processo SSHD não foi atualizado corretamente.
Cause
O comando seccryptocfg tenta reiniciar o processo SSHD após cada alteração de um parâmetro SSH (cipher, kex, mac) e, quando vários parâmetros são configurados no mesmo comando, a sessão SSH do usuário pode ser encerrada antes que todos os parâmetros SSH tenham sido atualizados nos arquivos de configuração subjacentes ou a sessão SSH pode ser encerrada antes que a SSHD seja reiniciada.
Versão do software afetado: v8.2.2c e anteriores
Resolution
Solução temporária:
Há algumas soluções temporárias disponíveis:
-
Ao usar seccryptocfg para atualizar parâmetros SSH, altere apenas um parâmetro de cada vez.
Por exemplo, o comando a seguir atualiza os parâmetros 'cipher' e 'kex' no mesmo comando e pode encontrar esse problema:
seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384
Dividir o comando acima nos dois comandos a seguir evita esse problema:
seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr
seccryptocfg --replace -type SSH -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384
-
Outra maneira de evitar o problema é usar o comando seccryptocfg em uma sessão telnet ou em uma conexão de porta de console serial.
Resolução:
Faça upgrade para o FOS v8.2.2d, FOS v9.0.0 ou posterior e execute o comando seccryptocfg .