瑞星预警：libssh被爆存在身份验证绕过漏洞 服务器可被挖矿勒索

2018-10-18   

近日，libssh官方发布公告称libssh 0.6及以上版本，在服务器代码中存在身份验证绕过漏洞。攻击者可以在没有任何凭据的情况下成功进行身份验证，远程植入挖矿病毒、勒索病毒、DDOS病毒等。瑞星安全专家建议libssh用户及时更新补丁，防止被攻击。

概述：

近日，libssh官方发布公告称libssh 0.6及以上版本，在服务器代码中存在身份验证绕过漏洞。攻击者可以在没有任何凭据的情况下成功进行身份验证，远程植入挖矿病毒、勒索病毒、DDOS病毒等。瑞星安全专家建议libssh用户及时更新补丁，防止被攻击。

瑞星安全专家介绍，SSH是一种加密的网络传输协议，可在不安全的网络中为网络服务提供安全的传输环境。而libssh就是实现此协议的一个开源函数库，通过调用此函数库实现SSH通信。由于Linux系统的远程登录通常使用OpenSSH来实现SSH通信，而不是libssh这个库，因此广大用户不用过度恐慌，但是如果服务器上的某些软件使用了libssh库作为服务端进行通信，就会受到此漏洞影响。

漏洞编号：

CVE-2018-10933

受影响版本：

libssh 0.6.x

libssh 0.7.x

libssh 0.8.x

修复后的最新版本：

libssh 0.8.4

修正了CVE-2018-10933

修复了没有通配支持的问题

修复了可能的内存泄漏

避免在套接字上使用SIGPIPE

libssh 0.7.6

修正了CVE-2018-10933

添加了对OpenSSL 1.1的支持

为ssh_get_publickey_hash（）添加了SHA256支持

修复了配置解析

修复了导入pubkeys时随机内存损坏的问题

下载地址：https://www.libssh.org/files/

安全建议

1、密切关注含有漏洞组件的各Linux系统发行版本的更新，及时更新补丁。

2、直接访问libssh官网，下载安装最新版libssh。

3、根据情况，禁用SSH或者只允许指定IP段连接。