Connectrix B-Series: Seccryptocfg opdaterer muligvis ikke SSHD-konfigurationen korrekt, hvis flere SSH-parametre ændres samtidigt

Når en bruger kører seccryptocfg for at ændre flere SSH-parametre (cipher, kex, mac) i samme kommando, opdateres SSHD-konfigurationen muligvis ikke korrekt, eller SSHD-processen genstarter muligvis ikke. Outputtet fra seccryptocfg-kommandoen kan vise, at SSH er konfigureret som ønsket, men den viste konfiguration er muligvis ikke effektiv.

Efter ændring af SSH-parametre kan seccryptocfg vise SSH konfigureret anderledes end hvad den kørende SSHD-konfiguration er.

Dette ses typisk, når SSH-parametre opdateres for at løse rapporterede sikkerhedsscanningssårbarheder. Når en bruger deaktiverer de sårbare elementer, og de ikke længere vises i outputtet fra kommandoen seccryptocfg , fortsætter sikkerhedsscanningerne muligvis med at rapportere dem, da SSHD-processen ikke blev opdateret korrekt.

Kommandoen seccryptocfg forsøger at genstarte SSHD-processen efter hver ændring af en SSH-parameter (cipher, kex, mac), og når flere parametre er konfigureret i samme kommando, kan brugerens SSH-session afsluttes, før alle SSH-parametre er blevet opdateret i de underliggende konfigurationsfiler, eller SSH-sessionen afsluttes muligvis, før SSHD genstarter.

Berørt softwareudgivelse: v8.2.2c og tidligere

Omgåelse:

Der er et par tilgængelige løsninger:

• Når du bruger seccryptocfg til at opdatere SSH-parametre, skal du kun ændre én parameter ad gangen.

  Følgende kommando opdaterer f.eks. parametrene 'cipher' og 'kex' i den samme kommando og kan støde på dette problem:

  seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr  -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384

  Ved at opdele ovenstående kommando i følgende to kommandoer undgår du dette problem:

  seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr

  seccryptocfg --replace -type SSH -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384

• En anden måde at undgå problemet på er at bruge kommandoen seccryptocfg i enten en telnet-session eller en seriel konsolportforbindelse.

Løsning:

Opgrader til FOS v8.2.2d eller FOS v9.0.0 eller nyere, og kør derefter kommandoen seccryptocfg .