Li hoje que há uma vulnerabilidade significativa no OpenSSH, que foi corrigida pela versão mais recente, 7.1p2. De acordo com esta história, sua chave privada é vulnerável à divulgação.
Estou usando o Amazon Linux AMI mais recente e tudo está atualizado no repositório da Amazon.
[root@aws /]# ssh -V
OpenSSH_6.6.1p1, OpenSSL 1.0.1k-fips 8 Jan 2015
Aqui está a lista de quais pacotes estão disponíveis no repositório Amazon yum
yum list | grep openssh
openssh.x86_64 6.6.1p1-22.58.amzn1 @amzn-updates
openssh-clients.x86_64 6.6.1p1-22.58.amzn1 @amzn-updates
openssh-server.x86_64 6.6.1p1-22.58.amzn1 @amzn-updates
openssh-keycat.x86_64 6.6.1p1-22.58.amzn1 amzn-updates
openssh-ldap.x86_64 6.6.1p1-22.58.amzn1 amzn-updates
Parece que o repositório da Amazon está cerca de dois anos atrasado nas atualizações do OpenSSH. Eu li que alguns fornecedores fazem atualizações de back-port para versões mais antigas do OpenSSH, então isso pode não ser um problema, ou a Amazon pode resolvê-lo em breve.
Perguntas:
- Isto é realmente um problema?
- Se for um problema, qual é a melhor maneira de atualizar? Eu normalmente encontraria outro repositório yum, aumentaria sua prioridade e atualizaria a partir dele.
Sim, é realmente um problema se você fizer ssh em uma máquina que um invasor possa controlar.
Até que a Amazon atualize seu pacote, você pode impedir que o bug o afete adicionando a linha
UseRoaming noa /etc/ssh/ssh_config em qualquer máquina na qual você usará o cliente ssh.