Shadowserver: bijna 11 miljoen SSH-servers kwetsbaar voor Terrapin-aanval
Bijna 11 miljoen SSH-servers wereldwijd zijn kwetsbaar voor de 'Terrapin-aanval' die eind december werd onthuld, waaronder bijna 367.000 in Nederland, zo laat de Shadowserver Foundation vandaag weten. Via de aanval kan een aanvaller de gebruikte authenticatie-algoritmes downgraden en bepaalde maatregelen tegen keystroke timing-aanvallen, die in OpenSSH 9.5 werden geïntroduceerd, uitschakelen.
Om de aanval uit voeren moet een aanvaller wel een man-in-the-middle-positie tussen de client en server hebben, waarbij het mogelijk is om verkeer op de TCP/IP-laag te onderscheppen en aan te passen. Daarnaast moet voor het opzetten van de verbinding gebruik worden gemaakt van ChaCha20-Poly1305 of de Cipher Block Chaining (CBC) encryptiemode met de optie 'Encrypt-then-MAC'.
Via SSH kunnen gebruikers op een beveiligde manier op bijvoorbeeld servers inloggen of op afstand machines beheren. De Terrapin-kwetsbaarheid, ook aangeduid als CVE-2023-48795, is volgens de onderzoekers vanwege de kwetsbare encryptiemodes lastig te patchen. Wel zijn inmiddels voor allerlei populaire programma's, waaronder OpenSSH, PuTTY en WinSCP, updates uitgekomen.
De Shadowserver Foundation is een in Nederland en de Verenigde Staten geregistreerde non-profitstichting die zich bezighoudt met de bestrijding van botnets en cybercrime. De organisatie scant regelmatig op kwetsbare systemen. Bij de laatste scan werd gecontroleerd op CVE-2023-48795. Dan blijkt dat bijna elf miljoen servers nog kwetsbaar zijn, aldus de onderzoekers, waarvan bijna 367.000 in Nederland.
Pas dus op met o.a. hotel-wifi.
Ook vandaag (3 januari) zijn updates uitgerold voor ssh.
Pas dus op met o.a. hotel-wifi.
Niet alleen op bij hotel-wifi moet je daar rekening mee houden. Je moet hier rekening mee bij alle verbindingen die via een onvertrouwd netwerk verlopen, waaronder alle verbindingen via het publieke Internet. De tijd dat je pakketjes aan een internetprovider kon geven en dat ze ongelezen/ongeschonden aankomen bij de ontvanger zijn we al een aantal decennia voorbij.
Ik zie bij mij geen ssh tussen de upgradeables staan.
Ondanks dat FreeBSD in de laatste patches telkens OpenSSH update'te, is deze nog niet aangepakt.
En CheckPoint zal daar denk ik -als in aanname!- niet op vooruitlopen.
Want een advies van hen luidt, in sshd_config:
Ja tuurlijk dit is een probleem alleen moet je zoals hierboven beschreven wel een MITM kunnen doen en dus zou je netwerk al compromised moeten zijn.
Oftewel reguliere patchronde en niet echt reden tot paniek.
Is dat: (ChaCha20-Poly1305 || CBC) && Encrypt-then-MAC
of toch: ChaCha20-Poly1305 || (CBC && Encrypt-then-MAC)
Ja tuurlijk dit is een probleem alleen moet je zoals hierboven beschreven wel een MITM kunnen doen en dus zou je netwerk al compromised moeten zijn.
Oftewel reguliere patchronde en niet echt reden tot paniek.
Ik zie bij mij geen ssh tussen de upgradeables staan.
Daar moet je ook niet kijken denk ik. Bij een LTS worden security fixes vaak ge-backport. Canonical publiceert wat je wilt weten op https://ubuntu.com/security/cves?q=CVE-2023-48795 . Zowel 20.04LTS als 22.04LTS zijn gepatched.
Ondanks dat FreeBSD in de laatste patches telkens OpenSSH update'te, is deze nog niet aangepakt.
https://www.freebsd.org/security/advisories/FreeBSD-SA-23:19.openssh.asc
Is dat: (ChaCha20-Poly1305 || CBC) && Encrypt-then-MAC
of toch: ChaCha20-Poly1305 || (CBC && Encrypt-then-MAC)
Ja tuurlijk dit is een probleem alleen moet je zoals hierboven beschreven wel een MITM kunnen doen en dus zou je netwerk al compromised moeten zijn.
Oftewel reguliere patchronde en niet echt reden tot paniek.
We zien dat vaker. SSH is dermate robust gebleken over de jaren dat elke CVE hoger dan 2 groot nieuws is.
Het heeft denk ik ook te maken met het feit dat deze onderzoekers graag hun naam in het nieuws zien verschijnen.
1. Bedenk een spannende naam
2. Maak een website en een scanningtool.
3. Zorg voor zoveel mogelijk media aandacht.
4. Profit?
Ik zag ook zakelijk 't een ander aan mailverkeer rondgaan hieromtrent met een hoop paniek terwijl ik niet de indruk had dat zelfs de 'security officer' in kwestie daadwerkelijk gelezen had waar het om ging.
Ja tuurlijk dit is een probleem alleen moet je zoals hierboven beschreven wel een MITM kunnen doen en dus zou je netwerk al compromised moeten zijn.
Oftewel reguliere patchronde en niet echt reden tot paniek.
We zien dat vaker. SSH is dermate robust gebleken over de jaren dat elke CVE hoger dan 2 groot nieuws is.
Het heeft denk ik ook te maken met het feit dat deze onderzoekers graag hun naam in het nieuws zien verschijnen.
1. Bedenk een spannende naam
2. Maak een website en een scanningtool.
3. Zorg voor zoveel mogelijk media aandacht.
4. Profit?
Ik zag ook zakelijk 't een ander aan mailverkeer rondgaan hieromtrent met een hoop paniek terwijl ik niet de indruk had dat zelfs de 'security officer' in kwestie daadwerkelijk gelezen had waar het om ging.
Is dat: (ChaCha20-Poly1305 || CBC) && Encrypt-then-MAC
of toch: ChaCha20-Poly1305 || (CBC && Encrypt-then-MAC)
Een nogal groot deel van de NI (natuurlijke intelligentie) bezitters zal ook moeite hebben met de correcte interpretatie.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
