OpenSSH 9.9p2: підміна сервера за ввімкненого VerifyHostKeyDNS

Випуск OpenSSH 9.9p2 від 18 лютого 2025 року усуває логічну вразливість, яка могла дозволити MITM-атаку (Man-in-the-Middle) на SSH-клієнт. Хоча вразливість стосується лише специфічної конфігурації, адміністраторам важливо перевірити налаштування безпеки своїх клієнтських систем.

Вразливість існувала в SSH-клієнтах версій 6.8p1–9.9p1 і проявлялася лише тоді, коли користувач вручну активував опцію VerifyHostKeyDNS. За замовчуванням ця опція вимкнена, проте в середовищах, де вона була ввімкнена для додаткової перевірки ключів хоста, зловмисник міг здійснити підміну сервера. Оновлення до версії 9.9p2 виправляє логіку перевірки, усуваючи можливість такої атаки.

Рекомендації:

• Оновіть OpenSSH-клієнт до версії 9.9p2 на всіх робочих станціях та серверах.
• Перевірте конфігураційні файли ssh_config на наявність параметра VerifyHostKeyDNS.
• Якщо використання VerifyHostKeyDNS є необхідним, переконайтеся, що ви використовуєте оновлену версію клієнта, яка коректно обробляє перевірку ключів.

Що це означає для бізнесу

Вразливість у логіці перевірки ключів хоста через DNS (VerifyHostKeyDNS) в OpenSSH створює ризик MITM-атак. Хоча ця опція не є стандартною, її використання в корпоративних середовищах для додаткової безпеки вимагає негайного оновлення клієнтів. Адміністраторам важливо перевірити конфігурації, щоб уникнути підміни сервера зловмисниками.

Практичний крок: Оновіть OpenSSH-клієнт до версії 9.9p2 на всіх пристроях. Зверніться до Softline для перевірки ваших конфігураційних файлів ssh_config та отримання рекомендацій щодо налаштування безпечного віддаленого доступу в вашій інфраструктурі.