Avamar — skaner sieciowy zgłasza lukę w zabezpieczeniach OpenSSH na serwerze proxy Avamar

Skaner zabezpieczeń sieci zidentyfikował następujące problemy z usługą proxy OpenSSH Avamar:

1.CVE-2016-2183 — "Ataki SSH Birthday na 64-bitowe szyfry blokowe (SWEET32)"
2.CVE-2016-10009, CVE-2016-10010, CVE-2016-10011, CVE-2016-10012, CVE-2016-8858 — "Wiele luk w zabezpieczeniach OpenSSH 7.4, które nie są zainstalowane w systemie".

Na podstawie dostępnych informacji jest prawdopodobne, że wyniki te są fałszywie dodatnie.

1. Plik /etc/ssh/sshd_config na serwerze proxy NIE ma włączonego żadnego szyfru DES/3DES.  
2. Serwer proxy Avamar działa w systemie SUSE Linux Enterprise Server 12 SP5 (lub SLES12 SP4 w starszych wersjach serwera proxy) i jest wyposażony w oprogramowanie OpenSSH w wersji 7.2.
Zgodnie z dokumentacją podaną w sekcji "Dodatkowe informacje" tej bazy wiedzy nie jest to luka w zabezpieczeniach.

1. Aby potwierdzić, że problem z SWEET32 nie występuje, możesz spróbować połączyć się z serwerem proxy przy użyciu szyfru 3DES. To polecenie można uruchomić lokalnie na serwerze proxy lub zdalnie:

ssh -c 3des-cbc 193proxy.example.com

UWAGA:  Dostosuj nazwę hosta serwera proxy "193proxy.example.com" lub użyj localhost, jeśli uruchamiasz polecenie na serwerze proxy.  

Połączenie powinno się nie powieść, a następnie usługa SSHD wyświetla dozwolone szyfry. Oto przykładowe dane wyjściowe:

Unable to negotiate with ::1 port 22: no matching cipher found. Their offer: aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc

2. Aby potwierdzić, że wersja pakietu OpenSSH jest wyższa niż 7.2p2-74.45.1 run this command:  

rpm -qa | grep '^openssh-[7,f]'  |sed 's/\.x86_64$//'

Prawidłowe dane wyjściowe: 

admin@193proxy:~/>: rpm -qa | grep '^openssh-[7,f]'  |sed 's/\.x86_64$//'
openssh-7.2p2-78.7.1
openssh-fips-7.2p2-78.7.1

 

Dokumentacja SUSE dotycząca tego problemu:
1. Sweet32 - SUSE:  CVE-2016-2183
2. Wersja — SUSE:  CVE-2016-10009, CVE-2016-10010, CVE-2016-10011, CVE-2016-10012, CVE-2016-8858