Connectrix B-Series: Seccryptocfg kanske inte uppdaterar SSHD-konfigurationen korrekt om flera SSH-parametrar ändras samtidigt

När en användare kör seccryptocfg för att ändra flera SSH-parametrar (chiffer, kex, mac) i samma kommando kan det hända att SSHD-konfigurationen inte uppdateras korrekt eller att SSHD-processen inte startas om. Utdata från kommandot seccryptocfg kan visa att SSH har konfigurerats som önskat, men den konfiguration som visas kanske inte är effektiv.

När du har ändrat SSH-parametrar kan seccryptocfg visa SSH konfigurerad på ett annat sätt än vad SSHD-konfigurationen som körs.

Detta uppstår vanligtvis när du uppdaterar SSH-parametrar för att lösa rapporterade säkerhetsproblem vid säkerhetsgenomsökning. När en användare har inaktiverat de sårbara objekten, och de inte längre visas i utdata för kommandot seccryptocfg , kan säkerhetsgenomsökningarna fortsätta att rapportera dem eftersom SSHD-processen inte uppdaterades korrekt.

Kommandot seccryptocfg försöker starta om SSHD-processen efter varje ändring av en SSH-parameter (chiffer, kex, mac), och när flera parametrar har konfigurerats i samma kommando kan användarens SSH-session avslutas innan alla SSH-parametrar har uppdaterats i de underliggande konfigurationsfilerna eller så kan SSH-sessionen avslutas innan SSHD startas om.

Berörd programvaruversion: v8.2.2c och tidigare

Tillfälliga lösningar:

Det finns ett par tillgängliga lösningar:

• När du använder seccryptocfg för att uppdatera SSH-parametrar ändrar du bara en parameter i taget.

  Följande kommando uppdaterar till exempel både parametrarna "chiffer" och "kex" i samma kommando och kan stöta på det här problemet:

  seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr  -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384

  Om du delar upp kommandot ovan i följande två kommandon undviker du det här problemet:

  seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr

  seccryptocfg --replace -type SSH -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384

• Ett annat sätt att undvika problemet är att använda seccryptocfg kommandot i antingen en telnet-session eller en seriell konsolportanslutning.

Lösning:

Uppgradera till FOS v8.2.2d eller FOS v9.0.0 eller senare och kör sedan kommandot seccryptocfg .