UCloud-202312-002:OpenSSH ProxyCommand命令注入漏洞安全警告
- 发布时间
- 更新时间
- 2023-12-26
- 漏洞等级
- High
- CVE编号
- CVE-2023-51385
漏洞详情
UCloud监测到OpenSSH发布安全更新，其中修复了一个命令注入漏洞，在9.6版本之前的OpenSSH中，用户名和主机名中可以通过注入恶意Shell字符导致命令注入,该漏洞是由于OpenSSH中的ProxyCommand命令中未对%h，%p表示的用户名和主机名输入进行安全过滤，导致当攻击者可以控制%h,%p值时可以注入恶意Shell字符进行命令注入攻击，常见攻击场景如一个不受信任的 Git 仓库可能存在含有 shell 元字符的用户名或主机名子模块，当用户递归更新该仓库时则会触发漏洞执行。
鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
影响范围
OpenSSH<9.6
修复方案
注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外
目前，官方已有可更新版本，建议用户尽快更新到安全版本：
OpenSSH >= 9.6