安全公告

下文介绍了与 Google 的 Migrate to Virtual Machines 5.0 相关的所有安全公告。

如需接收最新安全公告，请执行以下操作之一：

将此页面的网址添加到您的 Feed 阅读器。
直接将 Feed 网址添加到您的 Feed 阅读器：https://cloud.google.com/migrate-to-virtual-machines-security-bulletins.xml

GCP-2024-040

发布日期：2024 年 7 月 10 日

说明严重程度备注

说明	严重程度	备注
Migrate Connector 是用于将 VMware 来源连接到 Migrate to Virtual Machines 的虚拟设备，存在 OpenSSH 守护程序 (SSHD) 的安全漏洞 (CVE-2024-6387)。该怎么做？为了缓解此问题，Migrate Connector 2.6.2497 版已发布，并且正在逐步推出。如需应用它，请前往 Google Cloud 控制台中的 Migrate to Virtual Machines 页面。源设备有可用的更新后，您会看到一个横幅，上面写着您的来源有可用的更新。批准更新以在 Migrate Connector 上启动版本更新。如需了解详情，请参阅修改 Migrate Connector 配置。如需立即降低风险，请执行以下任一操作：登录 Migrate Connector 并运行以下命令： sudo sed -i 's/#LoginGraceTime 2m/LoginGraceTime 0/g' /etc/ssh/sshd_config 或手动修改 `/etc/ssh/sshd_config`，取消备注 `LoginGraceTime` 的条目并将其值设置为 0。运行以下命令重启 SSHD： sudo systemctl restart ssh 解决了哪些漏洞？最近在 OpenSSH 中发现了一个远程代码执行漏洞 CVE-2024-6387。该漏洞利用了可用于获取远程 shell 访问权限的竞态条件，使攻击者能够获取 root 访问权限。截至本文发布之时，利用该漏洞十分困难，攻击每台设备需要花费数小时的时间。我们没有发现任何利用该漏洞发起攻击的行为。	严重	CVE-2024-6387

Migrate Connector 是用于将 VMware 来源连接到 Migrate to Virtual Machines 的虚拟设备，存在 OpenSSH 守护程序 (SSHD) 的安全漏洞 (CVE-2024-6387)。

该怎么做？

为了缓解此问题，Migrate Connector 2.6.2497 版已发布，并且正在逐步推出。如需应用它，请前往 Google Cloud 控制台中的 Migrate to Virtual Machines 页面。源设备有可用的更新后，您会看到一个横幅，上面写着您的来源有可用的更新。批准更新以在 Migrate Connector 上启动版本更新。如需了解详情，请参阅修改 Migrate Connector 配置。

如需立即降低风险，请执行以下任一操作：

登录 Migrate Connector 并运行以下命令：
```
sudo sed -i 's/#LoginGraceTime 2m/LoginGraceTime 0/g' /etc/ssh/sshd_config
```
或

手动修改 /etc/ssh/sshd_config，取消备注 LoginGraceTime 的条目并将其值设置为 0。
运行以下命令重启 SSHD：
```
sudo systemctl restart ssh
```

解决了哪些漏洞？

最近在 OpenSSH 中发现了一个远程代码执行漏洞 CVE-2024-6387。该漏洞利用了可用于获取远程 shell 访问权限的竞态条件，使攻击者能够获取 root 访问权限。截至本文发布之时，利用该漏洞十分困难，攻击每台设备需要花费数小时的时间。我们没有发现任何利用该漏洞发起攻击的行为。

严重

CVE-2024-6387