Vulnérabilité SSH

[Mackguil]

Mettez vos serveurs ssh à jour:

A vulnerability was found in OpenSSH when the VerifyHostKeyDNS option is enabled. A machine-in-the-middle attack can be performed by a malicious machine impersonating a legit server. This issue occurs due to how OpenSSH mishandles error codes in specific conditions when verifying the host key. For an attack to be considered successful, the attacker needs to manage to exhaust the client's memory resource first, turning the attack complexity high.

https://nvd.nist.gov/vuln/detail/CVE-2025-26465

[Unix-Linux]

Déjà fixé chez Ubuntu et très certainement chez bien d'autres également

OpenSSH 9.9p2 was released on 2025-02-18. It is available from the
mirrors listed at https://www.openssh.com/.

OpenSSH is a 100% complete SSH protocol 2.0 implementation and
includes sftp client and server support.

Once again, we would like to thank the OpenSSH community for their
continued support of the project, especially those who contributed
code or patches, reported bugs, tested snapshots or donated to the
project. More information on donations may be found at:
https://www.openssh.com/donations.html

Changes since OpenSSH 9.9p1
===========================

This release fixes two security bugs.

===> OpenSSH

[Mackguil]

Déjà fixé chez Ubuntu et très certainement chez bien d'autres également

Ouiap mais ceux qui laissent pourrir leur update pendant des jours avant de l'appliquer risque d’Être saisi.

[Unix-Linux]

Effectivement ://

[BelTNT]

C’est une attaque complexe (comme souvent) et faut il encore avoir un ssh ouvert sur le net.

[Mackguil]

C’est une attaque complexe (comme souvent) et faut il encore avoir un ssh ouvert sur le net.

C'est mon cas, tunnel, etc.

Tu n'imagines même pas les ip bannies par fail2ban, chaque jour.

[BelTNT]

C’est une attaque complexe (comme souvent) et faut il encore avoir un ssh ouvert sur le net.

C'est mon cas, tunnel, etc.

Tu n'imagines même pas les ip bannies par fail2ban, chaque jour.

Avec plus de 2000 IP ouvertes sur le net, si si j’ai assez de logs

On a arrêté fail2ban, trop lourd. On est passé à crowndsec.

[Mackguil]

On a arrêté fail2ban, trop lourd. On est passé à crowndsec.

Ce qui m’embêtait avec ce projet à sa sortie, c'était la remontée des infos sur des serveurs externes, est ce encore le cas aujourd'hui, je suppose que oui vu le coté collaboratif ?

[BelTNT]

Oui c’est le cas. C’est le souci du côté collaboratif en effet