openssh漏洞修复

2014年11月11日 发表评论 阅读评论

近期有几台主机上线,上线的主机在进行安全合规扫描时,发现如下openssh漏洞。其中有几个是陈年老漏洞,主要为CVE-2014-1692漏洞(openssh schnorr.c漏洞)为今天一月份的新漏洞。由于主机没有配置外网连接,而且针对suse和redhat不同的版本,所以使用用了源码包编译升级openssh版本的方式修复。

20141111160451

一、准备相关包

zlib-1.2.5.tar.bz2 

openssl-1.0.1.tar.gz 

openssh-6.6p1.tar.gz

相关包已上传百度云盘上。

二、准备其他登录方式

由于其间有卸载ssh的操作,以免登录不上主机,可以选择先配置telnet或者vnc来进行远程操作,这里以telnet为例,如下:

# vim /etc/xinetd.d/telnet
service telnet
{
        socket_type     = stream
        protocol        = tcp
        wait            = no
        user            = root
        server          = /usr/sbin/in.telnetd
        disable         = yes
}

注,如无telnet-server包,需要先安装该包后,再配置以上选项。

配置完后,重启xinetd守护进程生效并查看是否有23端口的监听:

# service xinetd restart
# netstat -tunlp

安全起见也可以考虑修改下telnet端口或通过iptables进行源地址指定 。

三、程序升级

1、openssl 包的安装

# tar -zxvf openssl-1.0.1.tar.gz
# cd openssl-1.0.1
# ./config -fPIC threads shared
# make
# make test
# make install
# mv /usr/bin/openssl /usr/bin/openssl.OFF
# mv /usr/include/openssl /usr/include/openssl.OFF
//该步骤可能提示无文件,忽略即可
# ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl
# ln -s /usr/local/ssl/include/openssl /usr/include/openssl
//移走原先系统自带的openssl,将自己编译产生的新文件进行链接

注:不能卸载原openssl包,否则会影响系统的ssl加密库文件,除非你可以做两个软连接libcryto和libssl

配置文件搜索路径:

# chmod 755 /usr/local/ssl/lib
# echo "/usr/local/ssl/lib" >> /etc/ld.so.conf
# /sbin/ldconfig -v
# openssl version -a
OpenSSL 1.0.1 14 Mar 2012
built on: Fri Mar 16 17:14:50 CST 2012
platform: linux-x86_64
options:  bn(64,64) rc4(16x,int) des(idx,cisc,16,int) idea(int) blowfish(idx)
compiler: gcc -fPIC -DOPENSSL_PIC -DZLIB -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -Wa,--noexecstack -m64 -DL_ENDIAN -DTERMIO -O3 -Wall -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM -DWHIRLPOOL_ASM -DGHASH_ASM
OPENSSLDIR: "/usr/local/ssl"

2、卸载原openssh包

备份启动脚本

# cp /etc/init.d/sshd  /root/

停止SSHD服务

# /sbin/service sshd stop

卸载系统里原有Openssh

# rpm  -qa|grep openssh 	//查询系统原安装的openssh包,全部卸载。
# rpm -e openssh --nodeps
# rpm -e openssh-server --nodeps
# rpm -e openssh-clients --nodeps
# rpm -e openssh-askpass
或rpm -e --nodeps `rpm -qa |grep openssh`

3、解压安装zlib包

# tar -jxvf zlib-1.2.5.tar.bz2	//首先安装zlib库,否则会报zlib.c错误无法进行
# cd zlib-1.2.5
# ./configure
# make&&make install

4、升级openssh包

先将将/etc/ssh的文件夹备份:
# mv /etc/ssh /etc/ssh_bak
# tar -zxvf openssh-6.6p1.tar.gz
# ./configure --sysconfdir=/etc/ssh --with-ssl-dir=/usr/local/ssl  --with-md5-passwords --mandir=/usr/share/man  --with-pam
# make
# make install

编译过程中可能报如下错:

checking for EVP_sha256... yes
checking whether OpenSSL has NID_X9_62_prime256v1... yes
checking whether OpenSSL has NID_secp384r1... yes
checking whether OpenSSL has NID_secp521r1... yes
checking if OpenSSL's NID_secp521r1 is functional... yes
checking for ia_openinfo in -liaf... no
checking whether OpenSSL's PRNG is internally seeded... yes
configure: error: PAM headers not found

如果报此错误需要安装相应版本的 pam-devel 包。安装完再重新编译即可 。

5、启动openssh服务

编译安装好后,可以通过sshd -d 进行验证,如果没有报错就可以重新启用openssh了

# cp -p contrib/redhat/sshd.init /etc/init.d/sshd
(suse: cp contrib/suse/rc.sshd /etc/init.d/sshd)
# chmod +x /etc/init.d/sshd
# chkconfig --add sshd
# cp sshd_config /etc/ssh/sshd_config  (如提示覆盖,yes回车)
# cp sshd /usr/sbin/sshd   (如提示覆盖,yes回车)
(redhat:cp ssh-keygen /usr/bin/ssh-keygen)

通过下面的命令启动ssh服务:

service sshd start 或 service sshd restart

注:ssh -V //如果看到了新的版本号就没问题啦!如果没有ssh这条命令,执行(redhat、suse: ln -s /usr/local/bin/ssh /usr/bin/ssh)




本站的发展离不开您的资助,金额随意,欢迎来赏!

You can donate through PayPal.
My paypal id: itybku@139.com
Paypal page: https://www.paypal.me/361way

分类: 安全/漏洞 标签:
  1. 本文目前尚无任何评论.
  1. 本文目前尚无任何 trackbacks 和 pingbacks.