Исследователь безопасности под псевдонимом KingCopeсообщил о критической уязвимости в OpenSSH, позволяющей злоумышленнику осуществлять множественные попытки авторизации за одно соединение в течение короткого промежутка времени. Так, по словам эксперта, до закрытия соединения OpenSSH разрешает ввести пароль 3-6 раз, однако брешь в ПО позволяет удаленно осуществлять тысячи попыток авторизации.
Серверы OpenSSH, на которых активирована интерактивная аутентификация keyboard-interactive, в том числе FreeBSD Linux, могут использоваться злоумышленниками для осуществления брутфорс-атак. По мнению KingCope, брешь могла широко эксплуатироваться хакерами, поскольку keyboard-interactive по умолчанию активирована на большинстве устройств.
Уязвимость присутствует в последней версии OpenSSH 6.9. В своем блоге KingCope опубликовал патч, исправляющий данную брешь. До тех пор, пока не будет выпущено официальное обновление, администраторам следует использовать пары ключей шифрования длиной не менее 2048 бит и сложные пароли для защиты закрытых ключей, сократить время соединения с 30 до 20 секунд, а также использовать ПО для ограничения количества попыток ввода неверного пароля. (OpenSSH/NovostIT)
