LibSSH认证旁路

Question

最近libssh (CVE-2018-10933)发布了安全声明，我想知道如何才能找到我正在运行的服务中是否使用了易受攻击的库？我最终将yum upgrade的系统，但就目前来说，这将是一个很好的知道我是否有危险。我在EC2上使用AmazonLinux2AMI。谢谢!

Answer 1

您可以获得需要libssh2和rpm -q --whatrequires的所有包的列表。

在我的Amazon 2实例中，似乎没有什么需要它：

[root@ip-xx-xx-xx-xx ~]# rpm -q --whatrequires libssh2
no package requires libssh2

要特别确定，您可以尝试列出所有打开共享库的进程：

[root@ip-xx-xx-xx-xx ~]# rpm -ql libssh2
/usr/lib64/libssh2.so.1
/usr/lib64/libssh2.so.1.0.1     <== this is the one
...
[root@ip-xx-xx-xx-xx ~]# fuser /usr/lib64/libssh2.so.1.0.1
(... empty output ...)
[root@ip-xx-xx-xx-xx ~]#

看起来，在我的Amazon 2 EC2上，什么都不使用libssh2。请注意，fuser必须以root或sudo的形式运行，否则您将看不到任何系统进程。

希望有帮助:)

Answer 2

此处描述的漏洞仅适用于使用libssh代码运行ssh服务器的程序。几乎每个VM上使用的服务器都是OpenSSH，它不使用libssh。它与使用libssh作为ssh客户端的程序无关。

此漏洞存在于libssh中，而不是libssh2中。这些是完全不同和无关的包。

如果没有安装libssh，则不会受到攻击。您的系统没有安装libssh，因此您不会受到攻击。

即使安装了libssh，您也必须运行使用libssh的备用SSH服务器。你没有这样做，所以你不容易受到伤害。