Fecha de la noticia: 2024-07-04
¡Atención a todos los administradores de sistemas y amantes de la seguridad informática! Hoy les traemos un problema que ha estado causando dolores de cabeza en el mundo de la ciberseguridad: el exploit de regreSSHion. Pero no se preocupen, porque también venimos cargados con soluciones temporales y medidas preventivas para mantener a salvo sus servidores. Desde actualizaciones de OpenSSH hasta configuraciones de fail2ban, ¡aquí encontrarán todo lo que necesitan para proteger sus sistemas! Así que prepárense para sumergirse en el apasionante mundo de la seguridad digital y descubrir cómo enfrentar este desafío con estilo. ¡Vamos a ello!
¿Cómo pueden los administradores evitar que las redes de gestión sean bloqueadas accidentalmente?
Los administradores pueden evitar que las redes de gestión sean bloqueadas accidentalmente definiendo una lista blanca llamada PerSourcePenaltyExemptList, que contiene direcciones IP en notación CIDR. También pueden eliminar la Condición de carrera en la que se basa el ataque, permitiendo a los clientes de SSH tiempo ilimitado para iniciar sesión mediante LoginGraceTime 0 en el archivo de configuración de SSH. Además, el uso de herramientas como fail2ban puede ayudar a hacer frente al exploit de regreSSHion, aunque solo una actualización del servidor OpenSSH ofrece una protección del cien por ciento contra este tipo de ataques.
¿Qué medidas temporales pueden tomar los administradores que no quieren aplicar directamente una actualización para protegerse contra el exploit de regreSSHion?
Una medida temporal que los administradores pueden tomar para protegerse contra el exploit de regreSSHion, sin aplicar directamente una actualización, es eliminar la Condición de carrera en la que se basa el ataque, permitiendo a los clientes de SSH tiempo ilimitado para iniciar sesión mediante LoginGraceTime 0 en el archivo de configuración de SSH. Otra medida es utilizar herramientas como fail2ban para hacer frente al exploit, ya que los intentos de ataque se parecen a los ataques de fuerza bruta habituales. Aunque estas medidas pueden proporcionar cierta protección, es importante tener en cuenta que solo una actualización del servidor OpenSSH ofrece una protección del cien por ciento contra regreSSHion.
Lista blanca de direcciones IP para evitar bloqueos accidentales
48 abarcaría la red /24 o /48 respectiva. Para evitar que las redes de gestión propias sean bloqueadas accidentalmente, los administradores también pueden definir una lista blanca llamada PerSourcePenaltyExemptList. Esta lista contiene una lista separada por comas de direcciones IP en notación CIDR, es decir, con la máscara de red. Para agregar la típica subred de Fritz!Box a la lista blanca, la línea de configuración PerSourcePenaltyExemptList 192.168.178.0/24 es suficiente. Solución temporal para los que no quieren aplicar el parche Sin embargo, actualmente ninguna de las distribuciones de Linux más conocidas ofrece OpenSSH 9.8 como paquete – por lo que llevará un tiempo hasta que cada administrador pueda disfrutar de las nuevas opciones de configuración. Mientras tanto, es mejor recurrir a otras medidas si no se puede o no se quiere aplicar directamente una actualización. Por ejemplo, los administradores pueden eliminar la Condición de carrera en la que se basa el ataque, permitiendo a los clientes de SSH tiempo ilimitado para iniciar sesión mediante LoginGraceTime 0 en el archivo de configuración de SSH (generalmente /etc/ssh/sshd_config). Sin embargo, el riesgo de esta configuración es que los atacantes ocupen todas las conexiones SSH disponibles del servidor, que nunca se liberarán debido a la falta de límite de tiempo. Por lo tanto, los usuarios legítimos serían bloqueados. También con herramientas como fail2ban, los administradores del sistema pueden hacer frente al exploit de regreSSHion. Dado que los intentos de ataque se parecen a los ataques de fuerza bruta habituales, un fail2ban configurado para monitorear SSH (como se describe en esta guía) ya proporcionará cierta protección. Sin embargo, los administradores deben tener en cuenta que mediante el uso de botnets o proxies residenciales, los criminales pueden recurrir a cientos de miles de direcciones IP diferentes para iniciar sus intentos de intrusión. Solo una actualización del servidor OpenSSH ofrece una protección del cien por ciento contra regreSSHion.
Protección total contra regreSSHion con la actualización de OpenSSH
OpenSSH 9.8 ofrece nuevas opciones de configuración para protegerse contra el exploit de regreSSHion, permitiendo a los administradores definir una lista blanca de direcciones IP para evitar bloqueos accidentales. Mientras tanto, los administradores pueden recurrir a soluciones temporales como eliminar la Condición de carrera en el archivo de configuración de SSH o utilizar herramientas como fail2ban para mitigar el riesgo. Sin embargo, solo una actualización del servidor OpenSSH garantiza una protección total contra regreSSHion, ya que los atacantes pueden recurrir a cientos de miles de direcciones IP diferentes para sus intentos de intrusión.
En resumen, para evitar bloqueos accidentales en las redes de gestión, los administradores pueden definir una lista blanca con direcciones IP en notación CIDR. Aunque las distribuciones de Linux aún no ofrecen OpenSSH 9.8 como paquete, existen soluciones temporales como ajustar la configuración de SSH o usar herramientas como fail2ban. Sin embargo, la mejor protección contra regreSSHion sigue siendo aplicar la actualización del servidor OpenSSH.
Fuente: Nueva función de SSH ofrece protección, no hay prueba de concepto.