Connectrix Série B: Seccryptocfg pode não atualizar corretamente a configuração SSHD se vários parâmetros SSH são alterados simultaneamente

Quando um usuário executa seccryptocfg para alterar vários parâmetros SSH (cifra, kex, mac) no mesmo comando, a configuração SSHD pode não ser atualizada corretamente ou o processo SSHD pode não reiniciar. A saída do comando seccryptocfg pode mostrar que o SSH está configurado conforme desejado, mas a configuração exibida pode não ser eficaz.

Depois de alterar os parâmetros SSH, seccryptocfg pode mostrar o SSH configurado de forma diferente do que é a configuração SSHD em execução.

Isso geralmente é visto ao atualizar parâmetros SSH para resolver vulnerabilidades de verificação de segurança relatadas. Depois que um usuário desabilita os itens vulneráveis e eles não são mais exibidos na saída do comando seccryptocfg , as verificações de segurança podem continuar a reportá-los, pois o processo SSHD não foi atualizado corretamente.

O comando seccryptocfg tenta reiniciar o processo SSHD após cada alteração de um parâmetro SSH (cipher, kex, mac) e, quando vários parâmetros são configurados no mesmo comando, a sessão SSH do usuário pode ser encerrada antes que todos os parâmetros SSH tenham sido atualizados nos arquivos de configuração subjacentes ou a sessão SSH pode ser encerrada antes que a SSHD seja reiniciada.

Versão do software afetado: v8.2.2c e anteriores

Solução temporária:

Há algumas soluções temporárias disponíveis:

• Ao usar seccryptocfg para atualizar parâmetros SSH, altere apenas um parâmetro de cada vez.

  Por exemplo, o comando a seguir atualiza os parâmetros 'cipher' e 'kex' no mesmo comando e pode encontrar esse problema:

  seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr  -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384

  Dividir o comando acima nos dois comandos a seguir evita esse problema:

  seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr

  seccryptocfg --replace -type SSH -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384

• Outra maneira de evitar o problema é usar o comando seccryptocfg em uma sessão telnet ou em uma conexão de porta de console serial.

Resolução:

Faça upgrade para o FOS v8.2.2d, FOS v9.0.0 ou posterior e execute o comando seccryptocfg .