Sure, you can handle it. But should you?
Let our experts manage the tech maintenance while you focus on your business.
Let our experts manage the tech maintenance while you focus on your business.
Anpassung der InSpire Host OpenSSH Einstellungen – LoginGraceTime auf 0 setzen
Mitigation für CVE-2024-6387
Copyright ©
Mindbreeze GmbH, A-4020 Linz, 2024.
Alle Rechte vorbehalten. Alle verwendeten Hard- und Softwarenamen sind Handelsnamen und/oder Marken der jeweiligen Hersteller.
Diese Unterlagen sind streng vertraulich. Durch die Übermittlung und Präsentation dieser Unterlagen alleine werden keine Rechte an unserer Software, an unseren Dienstleistungen und Dienstleistungsresultaten oder sonstigen geschützten Rechten begründet. Die Weitergabe, Veröffentlichung oder Vervielfältigung ist nicht gestattet.
Aus Gründen der einfacheren Lesbarkeit wird auf die geschlechtsspezifische Differenzierung, z.B. Benutzer/-innen, verzichtet. Entsprechende Begriffe gelten im Sinne der Gleichbehandlung grundsätzlich für beide Geschlechter.
Einführung
Mit CVE-2024-6387 wurde eine RCE-Schwachstelle im OpenSSH-Dienst entdeckt. Dies betrifft alle Appliances mit der Version 24.3 Hotfix 1 oder älter.
Mit dem neuesten Mindbreeze InSpire 24.3 Hotfix 2 Release beheben wir die Schwachstelle, indem wir die LoginGraceTime Einstellung von OpenSSH deaktivieren und somit die Nutzung dieser Schwachstelle verhindern.
Wir erwarten, dass ein Upstream-Patch zum Mindbreeze InSpire 24.5 Release verfügbar sein wird.
Für ältere Mindbreeze InSpire Installationen kann die Einstellung mit den folgenden Schritten implementiert werden.
Einsatz der Mitigation
Die folgenden Schritte sollten auf allen Member Nodes eines Mindbreeze InSpire-Clusters durchgeführt werden:
- Melden Sie sich mit SSH beim Mindbreeze InSpire Server mit Root Credentials an.
- Fügen Sie die folgende Zeile zu /etc/ssh/sshd_config.d/00-mitigations.conf hinzu, falls sie noch nicht vorhanden ist:
- LoginGraceTime 0
3.) Starten Sie den OpenSSH-Dienst neu, damit die Einstellung wirksam wird:
- systemctl restart sshd
Verifizierung
Bei korrektem Einsatz sollte der folgende Befehl ausgegeben werden: logingracetime 0
sshd -T | grep -i LoginGraceTime