在OpenSSH 6上处理CentOS CVE-2019-6109，CVE-2019-6110 & CVE-2019-6111

Question

您如何处理PCI服务器中OpenSSH 6上的CentOS 6上的CVE-2019-6109、CVE-2019-6110和CVE-2019-6111漏洞？OpenSSH似乎还没有解决这个问题，但是它失败了Trustwave的漏洞扫描。我试图通过显示到端口22上未知源的所有出站连接的锁定来反驳，但这并不被认为是足够的缓解。

Answer 1

我们找到了https://sintonen.fi/advisories/scp-client-multiple-vulnerabilities.txt，它在缓解部分中有一些补丁。我使用了这些新下载的openssh-7.9p1。对于这个补丁，我不得不对scp.c做一个小编辑，因为它看起来像是这个补丁的一部分已经到位了。我也不得不忽略空格。

wget https://ftp3.usa.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-7.9p1.tar.gz
wget https://sintonen.fi/advisories/scp-name-validator.patch
tar zxvf openssh-7.9p1.tar.gz
cd openssh-7.9p1
vim scp.c
patch -p1 --ignore-whitespace < scp-name-validator.patch

我对scp.c的更改删除了第1108行，并将其替换为以下内容。您可以在第271行的修补程序文件中看到原因。修补程序将用所需的行替换它。

if (*cp == '\0' || strchr(cp, '/') != NULL ||
  strcmp(cp, ".") == 0 || strcmp(cp, "..") == 0) {

然后./configure with、make、make或您通常为升级OpenSSH运行版本所做的任何操作。