Lỗ hổng bảo mật nguy hiểm có thể chỉ là lỗi hoành tráng

Một tuyên bố của một lỗ hổng phần mềm trong một chương trình được sử dụng để kết nối an toàn với các máy chủ trên Internet có thể là một trò lừa bịp, theo một nhà phân tích của SANS Internet Storm Center. Secure Shell), được cài đặt trên hàng chục triệu máy chủ được cung cấp bởi các nhà cung cấp như Red Hat, Hewlett-Packard, Apple và IBM. Nó được sử dụng bởi các quản trị viên để thực hiện các kết nối được mã hóa với các máy tính khác và thực hiện các tác vụ như cập nhật từ xa các tệp. OpenSSH là phiên bản mã nguồn mở, và có các phiên bản thương mại của chương trình.

Đầu tuần này, SANS đã nhận được một e-mail nặc danh tuyên bố về lỗ hổng không trong ngày trong OpenSSH, có nghĩa là một lỗ hổng trong phần mềm đã bị khai thác khi nó trở thành công khai. Đây là loại lỗ hổng phần mềm nguy hiểm nhất vì nó có nghĩa là không có sự sửa chữa nào cho nó và những kẻ xấu biết về nó.

[Đọc thêm: Cách xóa phần mềm độc hại khỏi PC Windows của bạn]

OpenSSH có thể tàn phá Internet, cho phép tin tặc có quyền truy cập vào máy chủ và máy tính cho đến khi giải pháp thay thế hoặc vá lỗi.

"Đó là lý do tại sao tôi nghĩ mọi người đang thực sự tạo ra một chút hoảng sợ" Bojan Zdrnja, chuyên gia phân tích SANS và chuyên gia tư vấn bảo mật thông tin cấp cao tại Infigo, một công ty kiểm tra an ninh và thâm nhập ở Zagreb, Croatia. "Mọi người không nên hoảng sợ ngay bây giờ. Không có gì tại thời điểm này chỉ ra rằng có một khai thác đang được sử dụng trong tự nhiên."

Bằng chứng về một lỗ hổng zero-day thực sự trong OpenSSH là yếu, Zdrnja nói. Cho đến nay, các nhà phân tích đã không nhìn thấy một hoạt động khai thác, mặc dù lo lắng rằng một nhóm gọi là Anti-Sec có thể đã tìm thấy một ngày không cho phép họ kiểm soát một máy chủ Web. Thông tin chi tiết về bản hack đã được đăng trên Full Disclosure, một diễn đàn không được kiểm duyệt về thông tin bảo mật.

Khi được nhấn để biết thêm chi tiết, một người tự xưng là một phần của Anti-Sec đã viết e-mail cho IDG News Service. không được phép thực sự thảo luận về việc khai thác (hoặc có tồn tại hay không), "đã được ký tên" Ẩn danh ".

Zdrnja cho biết cùng một nhóm đã xâm phạm một máy chủ khác gần đây, nhưng nó dường như là một cuộc tấn công tàn bạo chống lại OpenSSH. Một cuộc tấn công brute-force là nơi một hacker cố gắng kết hợp nhiều thông tin xác thực để truy cập vào một máy chủ. Nếu một quản trị viên đang sử dụng đang sử dụng các đăng nhập và mật khẩu đơn giản, nó làm cho một máy chủ dễ bị tấn công brute-force hơn, Zdrnja nói.

Cả hai máy chủ bị xâm nhập đều do cùng một người điều hành. "Tôi cho rằng những gì chúng tôi đang đối phó với ở đây là hai tin tặc trong một cuộc chiến giữa họ", Zdrnja nói.

Nhưng có những yếu tố khác cho thấy một ngày không cho OpenSSH không tồn tại. Nếu ngày không tồn tại, tin tặc có thể sẽ có nhiều khả năng sử dụng nó hơn một máy chủ cấu hình cao hơn máy chủ mới nhất bị xâm phạm, Zdrnja nói.

Một trong những nhà phát triển OpenSSH, Damien Miller, cũng đã ném nước lạnh về khả năng của một ngày không. Miller đã viết trên một diễn đàn OpenSSH hôm thứ Tư rằng ông đã trao đổi e-mail với một nạn nhân bị cáo buộc là zero-day, nhưng các cuộc tấn công dường như là "lực lượng vũ phu đơn giản."

"Vì vậy, tôi không thuyết phục được rằng không có ngày nào tồn tại, "Miller viết. "Các bằng chứng duy nhất cho đến nay là một số tin đồn vô danh và bảng điểm xâm nhập không thể xác minh."

Có vẻ như có một số nhầm lẫn giữa bị cáo buộc zero-day và một lỗ hổng khác trong OpenSSH, Zdrnja nói. Lỗ hổng đó, vẫn chưa được vá, có thể cho phép kẻ tấn công khôi phục tới 32 bit văn bản thuần túy từ một khối mã hóa tùy ý từ một kết nối được bảo mật bằng giao thức SSH trong cấu hình tiêu chuẩn, theo lời khuyên từ Vương quốc Anh. s Trung tâm bảo vệ cơ sở hạ tầng quốc gia (CPNI).

Mức độ nghiêm trọng của lỗ hổng được coi là cao, nhưng cơ hội khai thác thành công thấp, theo CPNI. Zdrnja cho biết các quản trị viên có thể thực hiện các cơ chế xác thực mạnh hơn trong OpenSSH bằng cách sử dụng các khóa công khai và riêng để bảo vệ chống lại một cuộc tấn công thành công. Trong một tư vấn, OpenSSH cũng nói rằng khả năng tấn công thành công thấp.