OpenSSH 爆高危漏洞 CVE-2024-6387

centos 和 open euler 的才 7 点几

"SSH-2.0-OpenSSH_9.2p1 Debian-2+deb12u2", from "debian-12.5.0-i386-DVD-1.iso": this is the current Debian stable
version

In our experiments, it takes ~10,000 tries on average to win this race condition, so ~3-4 hours with 100 connections (MaxStartups) accepted per 120 seconds (LoginGraceTime). Ultimately, it takes ~6-8 hours on average to obtain a remote root shell.

作者说，平均 7 小时破解一台远程 linux?

AlmaLinux 9 已经有更新： https://almalinux.org/blog/2024-07-01-almalinux-9-cve-2024-6387/
openssh 8.7p1-38.el9.alma.2
openssh-clients 8.7p1-38.el9.alma.2
openssh-server 8.7p1-38.el9.alma.2

有没 poc

@salmon5 #43 这就是 AlmaLinux 的的优势（相对 CentOS 或 RockyLinux ）。

OpenSSH_7.9p1 Debian-10+deb10u2, OpenSSL 1.1.1n 15 Mar 2022 ；这个版本应该没事吧

archlinux 下，记得服务端重启 sshd ，不然客户端连不上。原因尚不清楚。

害得我差点就要重启服务器了。

额 又要更新 真是麻烦

早上紧张了下。仔细一看，我两机器都是 debian11 ，还在 8.4p 呢

哈哈我一个版本是：OpenSSH_7.2p1
另外一个是：OpenSSH_9.2p1

草了，nixos 源里还是 9.7 ，又得叠 overlay 了

https://forums.rockylinux.org/t/openssh-vulnerability-cve-2024-6387/14883

rockly 出补丁了,可以先用再等红帽修复

@coldle unstable 已经是 9.8p1 了

运维同学忙起来了～

@supuwoerc 都是内网，有什么可忙的

临时处理办法：

安全组设置 OpenSSH 端口仅对可信地址开放，或是把 OpenSSH 端口先禁用；

@moenayuki #53 早上看的就是 ubstable ，估计刚更的

@Jack927 修了看后面的 0.11

@Nosub 不用那么复杂，官方有提到，配置文件里把 LoginGraceTime 改成 0 就可以。

@sunnysab 即便看到你这条消息我还是没连上，重启都没用......通过网页 console 连进去发现 sshd 启动失败了，重新写配置才恢复