OpenSSH Server远程代码执行漏洞

2024年7月1日，OpenSSH Server中存在的一个远程代码执行漏洞（CVE-2024-6387，又被称为regreSSHion）细节被公开，该漏洞影响基于glibc的Linux系统上的OpenSSH Server (sshd)。

所以在此契机上对服务器的OpenSSH版本进行升级；以下是简单的升级过程，大佬们帮忙指正

升级先查看自己系统版本和SSH版本

#cat /etc/redhat-releaseCentOS Linux release 7.9.2009 (Core)#ssh -VOpenSSH_7.4p1, OpenSSL 1.0.2k-fips  26 Jan 2017

系统版本和ssh版本

软件准备OpenSSH

点击连接直接转：Index of /pub/OpenBSD/OpenSSH/portable/

下载连接：

选择9.8P1

OpenSSL

OpenSSL点击连接下载：[ 1.1.1 ] - /source/old/1.1.1/index.html

下载连接：

选择openssl-1.1.1w

Zlib

下载连接：

点击连接直接下载：

zlib-1.3.1

上传软件

使用工具将下载好的软件上传到服务器

上传软件包

安装必要依赖

yum -y install gcc pam-devel zlib-devel openssl-devel net-tools

依赖安装完成

解压软件OpenSSL

tar -zxvf openssl-1.1.1w.tar.gz

tar -zxvf openssh-9.8p1.tar.gz

tar -zxvf zlib-1.3.1.tar.gz

解压后的图

升级安装安装zlib

进入解压好的目录进行配置、编译和安装

cd zlib-1.3.1./configuremakemake install

查看目前的版本

openssl version -a

目前版本为1.0.2k

进入解压包，进行配置、编译和升级

 cd openssl-1.1.1w/./config shared zlib --prefix=/usr/local/openssl-1.1.1wmakemake testmake install

配置完成

make

mke没有问题

make testmake test #报错

安装下面依赖解决make test报错

yum -y install perl-Module-Load-Conditional perl-core gcc perl-CPAN perl-devel

依赖安装完

再次make test无报错

接下来make install

make install完成

备份旧文件，替换新文件

# mv /usr/bin/openssl /usr/bin/openssl_bak# mv /usr/include/openssl /usr/include/openssl_bak# ln -s /usr/local/openssl-1.1.1w/bin/openssl /usr/bin/openssl# ln -s /usr/local/openssl-1.1.1w/include/openssl /usr/include/openssl

添加opessl动态链接库的位置

vi /etc/ld.so.conf/usr/local/openssl-1.1.1w/lib #添加到ld.so.conf文件中

执行

ldconfig -v 

查看openssl软件版本

openssl version -a

升级后的版本为1.1.1w

OpenSSH升级安装

查看升级前的版本

升级前的版本为7.4P1

备份ssh目录

cp -r /etc/ssh /etc/ssh_bak

进入解压包配置、编译和升级

cd openssh-9.8p1./configure --prefix=/usr/ --sysconfdir=/etc/ssh --with-zlib --with-ssl-dir=/usr/local/openssl-1.1.1w --mandir=/usr/share/manmakemake install

配置无报错

make无报错

make install无报错

重启ssh服务

systemctl restart sshd#报错Failed to start OpenSSH server daemon.

解决方案

涉及的key文件报错

把配置文件改为600；重启服务，

chmod 600 ssh_host_rsa_keychmod 600 ssh_host_ecdsa_keychmod 600 ssh_host_ed25519_key systemctl restart sshd

把涉及的key文件全部改成600后

查看升级后的版本

升级后版本为openssh_9.8p1、openssl-1.1.1w

结束

至此升级完成、各位看官是否有新疑问，请留在评论区；