OpenBSD OpenSSH sshd xử lý sai MaxAuthTries dẫn đến từ chối dịch vụ từ xa

sshd trong OpenSSH trước 10.4 cho phép kẻ tấn công từ xa gây ra tình trạng từ chối dịch vụ (tiêu thụ tài nguyên do có quá nhiều lần thử xác thực) vì MaxAuthTries được xử lý không đúng đối với GSSAPIAuthentication.

• OpenBSD OpenSSH: bản ghi xác định phạm vi bị ảnh hưởng là phiên bản từ 0 đến nhỏ hơn 10.4, theo kiểu phiên bản tùy chỉnh. Trạng thái mặc định của sản phẩm trong bản ghi là unaffected ngoài phạm vi được liệt kê.
• Bản sửa: OpenSSH 10.4 là bản phát hành được xác nhận có bản sửa liên quan trong dữ liệu cung cấp và ghi chú phát hành của vendor.
• Không có phạm vi backport hoặc gói phân phối hạ nguồn riêng được cung cấp, vì vậy trạng thái của các gói đã được nhà phân phối vá lại cần được xác minh riêng.

sshd xử lý các lần thử xác thực trước khi người dùng đăng nhập. Khi GSSAPIAuthentication được bật, MaxAuthTries bị xử lý sai nên giới hạn này không bảo vệ đầy đủ tài nguyên trước các lần thử xác thực quá mức. Luồng tấn công được xác nhận là từ xa và xảy ra trước xác thực, không yêu cầu tài khoản hợp lệ hoặc tương tác của người dùng. Ghi chú phát hành của OpenSSH cho biết GSSAPIAuthentication mặc định bị tắt và hoạt động này có thể bị PerSourcePenalties phạt, nhưng MaxAuthTries không giảm thiểu được trường hợp này. Bản ghi phân loại lỗi là CWE-770, liên quan đến việc cấp phát tài nguyên không có giới hạn hoặc throttling. Các nguồn công khai không nêu rõ đường đi mã nguồn, loại tài nguyên bị tiêu thụ hoặc ngưỡng làm cạn kiệt tài nguyên, nên các chi tiết đó vẫn chưa xác định.

• Dịch vụ bị ảnh hưởng có thể bị truy cập qua mạng; kẻ tấn công từ xa không cần xác thực trước và không cần người dùng tương tác.
• Khai thác xảy ra trong giai đoạn pre-authentication và yêu cầu GSSAPIAuthentication được bật. Tính năng này bị tắt theo mặc định.
• Kẻ tấn công gửi nhiều lần thử xác thực để tạo mức tiêu thụ tài nguyên quá cao. MaxAuthTries không ngăn được trường hợp được mô tả; PerSourcePenalties có thể phạt hoạt động này theo ghi chú của OpenSSH.
• Trường public_exploit trong bản ghi được đánh dấu là false, còn trạng thái khai thác thực tế không được xác lập vì trường known_exploited không có giá trị. Không có chi tiết exploit công khai hoặc chỉ dấu cụ thể được xác nhận trong các nguồn đã kiểm tra.

Lỗi cho phép các kết nối từ xa chưa xác thực tiêu thụ tài nguyên trong giai đoạn pre-authentication của sshd, từ đó có thể làm suy giảm hoặc làm gián đoạn tính sẵn sàng của dịch vụ SSH. Bản ghi không cho thấy khả năng đọc dữ liệu, sửa dữ liệu hoặc nâng quyền; tác động được mô tả tập trung vào availability. Không có tác động vượt qua ranh giới bảo mật của dịch vụ được xác nhận. Trong thực tế, việc mất khả năng truy cập SSH có thể cản trở quản trị và khôi phục, nhưng ngưỡng gây cạn kiệt tài nguyên và phạm vi ảnh hưởng đến toàn bộ máy chủ chưa được xác định.

• Máy chủ SSH có thể bị suy giảm hoặc mất khả năng phục vụ khi tài nguyên bị tiêu thụ bởi các lần thử xác thực quá mức.
• Việc gián đoạn sshd có thể làm chậm hoặc ngăn cản hoạt động quản trị từ xa, xử lý sự cố và khôi phục hệ thống.
• Các dịch vụ phụ thuộc vào khả năng truy cập SSH có thể chịu ảnh hưởng vận hành nếu tình trạng thiếu tài nguyên kéo dài.
• Bản ghi chỉ mô tả tác động đến tính sẵn sàng; không có bằng chứng cho thấy lỗi này cho phép đọc dữ liệu hoặc thay đổi tính toàn vẹn dữ liệu.
• Mức tiêu thụ tài nguyên cần để gây gián đoạn và phạm vi ảnh hưởng ngoài dịch vụ SSH vẫn chưa được công khai xác định.

1. Nâng cấp OpenBSD OpenSSH lên 10.4, là bản phát hành sửa lỗi được xác nhận. Kiểm tra metadata của gói do hệ điều hành hoặc nhà phân phối cung cấp, vì bản ghi không liệt kê các bản backport riêng.
2. Ưu tiên xử lý các máy chủ sshd đang bật GSSAPIAuthentication. Nếu chưa thể nâng cấp ngay, việc tắt GSSAPIAuthentication có thể giảm bề mặt phơi nhiễm khi phù hợp với yêu cầu vận hành, nhưng nguồn hiện có không xác nhận đây là bản sửa hoàn chỉnh.
3. Rà soát việc sử dụng PerSourcePenalties theo tài liệu và cấu hình được vendor hỗ trợ. Ghi chú phát hành cho biết hoạt động liên quan sẽ bị cơ chế này phạt, nhưng không trình bày nó như một giải pháp thay thế cho việc nâng cấp.
4. Sau khi cập nhật, xác minh binary sshd đang chạy, effective configuration và trạng thái khởi động lại hoặc reload của dịch vụ. Kiểm tra lại các phiên xác thực từ xa để bảo đảm hệ thống đang chạy bản đã sửa.

1. Kiểm kê các máy chủ đang chạy OpenBSD OpenSSH và đối chiếu phiên bản của gói cũng như binary sshd đang thực thi với ranh giới bị ảnh hưởng.
2. Kiểm tra effective configuration của sshd để xác định máy chủ nào bật GSSAPIAuthentication, đồng thời ghi nhận giá trị MaxAuthTries.
3. Rà soát telemetry xác thực trước đăng nhập để tìm các đợt tăng đột biến của những lần thử xác thực thất bại hoặc kéo dài. Đây là biện pháp giám sát phòng ngừa, không phải IOC được vendor xác nhận.
4. Đối chiếu các đợt thử xác thực bất thường với mức tăng sử dụng CPU, bộ nhớ hoặc suy giảm khả năng thiết lập phiên SSH. Nguồn công khai không cung cấp ngưỡng tài nguyên hay mẫu log cụ thể.
5. Không coi việc không thấy sự kiện trong log là bằng chứng hệ thống an toàn; cần kết hợp kết quả kiểm kê phiên bản và cấu hình.