OpenSSH : la très grande relativité de la faille regreSSHion

J’ai lu avec beaucoup d’attention l’avis du CERT-FR sur la vulnérabilité regreSSHion touchant les serveurs OpenSSH. Il faut relativiser.

Cette faille ne semblerait toucher que les systèmes 32-bit disposant d’un serveur OpenSSH dont la version est comprise entre 8.5p1 et 9.7p1.

Je voudrais vous faire une observation : qui, en entreprise, exécute encore un Linux 32-bit, alors que le noyau x86_64 (64-bit) pour le système d’exploitation Open Source a été mis en œuvre en décembre 2003 avec la version 2.6 ? De plus, j’ai cru comprendre que cela affectait le chiffrement DSA. Il n’y aurait donc aucun risque avec une clé RSA face à ce type d’attaque.

Solutions

Une 1ère solution consisterait à passer la directive décommentée LoginGraceTime à la valeur 0m (2m par défaut) au niveau du fichier /etc/ssh/sshd_config :

LoginGraceTime 0m

L’autre solution est de faire la mise à jour de votre système :

dnf update openssh-server

Pour contrôler que la mise à jour  s’est bien effectuée :

OpenSSH : la très grande relativité de la faille regreSSHion

Sécurité /