安全公告

我们可能会不时发布与裸金属解决方案相关的安全公告。裸金属解决方案的所有安全公告都会 此处所述。

使用此 XML Feed 可订阅此页面的安全公告。 订阅

GCP-2024-040

发布日期：2024 年 7 月 2 日

说明 严重程度 备注

在 OpenSSH 服务器 (sshd) 中发现了漏洞 CVE-2024-6387。 攻击者可以在基于 glibc 的 Linux 系统上远程利用此漏洞： 以根用户身份执行未经身份验证的远程代码，因为它会影响 sshd 的特权代码，该代码未采用沙盒机制，而是以完整 权限。

在发布时，人们认为需要进行漏洞利用 在竞态条件中胜出，该条件难以被成功利用，并且可能 每台机器受到攻击需要几个小时才能完成

裸金属解决方案的影响

根据我们的调查，我们没有发现任何针对现有 Google 托管的 Bare Metal 解决方案基础架构的利用尝试。

该怎么做？

  1. 我们建议在安全的 OpenSSH 版本 9.8p1 发布后更新到该版本，或者在操作系统供应商提供 sshd 补丁后应用 sshd 补丁。
  2. 我们还建议在不需要的位置停用/移除存在漏洞的 OpenSSH 服务器。
  3. 设置防火墙规则，限制来自可信网络端点对 SSH 服务器的访问。
  4. 监控任何涉及 SSH 服务器的异常网络活动。
严重