Connectrix серии B. seccryptocfg может неправильно обновить конфигурацию SSHD, если одновременно изменяются несколько параметров SSH
Сводка: В этой статье приводится временное решение, которое случается, когда «Seccryptocfg» неправильно обновляет конфигурацию SSHD.
Симптомы
Когда пользователь запускает seccryptocfg для изменения нескольких параметров SSH (cipher, kex, mac) в одной команде, конфигурация SSHD может обновиться неправильно или процесс SSHD может не перезапуститься. В выходных данных команды seccryptocfg может показаться, что протокол SSH настроен так, как нужно, но отображаемая конфигурация может быть неэффективной.
После изменения параметров SSH seccryptocfg может показать, что SSH настроен не так, как в текущей конфигурации SSHD.
Обычно это происходит при обновлении параметров SSH для устранения обнаруженных уязвимостей при сканировании безопасности. После того как пользователь отключит уязвимые элементы и они больше не будут отображаться в выходных данных команды seccryptocfg , сканирование безопасности может продолжать сообщать о них, поскольку процесс SSHD был обновлен неправильно.
Причина
Команда seccryptocfg пытается перезапустить процесс SSHD после каждого изменения параметра SSH (cipher, kex, mac), и если в одной команде настроено несколько параметров, пользовательская сессия SSH может быть завершена до того, как все параметры SSH будут обновлены в базовых файлах конфигурации, или сессия SSH может завершиться до перезапуска SSHD.
Затронутый выпуск ПО: v8.2.2c и более ранние
Разрешение
Временное решение.
Для временного решения этой проблемы есть несколько способов:
-
При использовании seccryptocfg для обновления параметров SSH изменяйте только один параметр за раз.
Например, следующая команда обновляет параметры «cipher» и «kex» в одной команде и может привести к возникновению следующей проблемы:
seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384
Разбиение приведенной выше команды на следующие две команды позволяет избежать этой проблемы:
seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr
seccryptocfg --replace -type SSH -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384
-
Еще один способ избежать этой проблемы — использовать команду seccryptocfg в сеансе telnet или подключении через последовательный консольный порт.
Разрешение.
Выполните модернизацию до версии FOS 8.2.2d или 9.0.0 или более поздней, а затем выполните команду seccryptocfg .