天融信关于CVE-2018-10933 libssh身份验证绕过漏洞预警

一、背景介绍

libssh 是一个在客户端和服务端实现SSHv2协议的多平台C库。通过它可以执行远程命令、文件传输，也能为远程的程序提供安全的传输通道。同时它也支持异步链接，SFTP,SCP和OpenSSH扩展，并且是线程安全的，在同一时间可使用不同的会话。

1.1漏洞描述

根据发布的安全公告声明，通过向libssh服务端发送SSH2_MSG_USERAUTH_SUCCESS消息来代替服务端期望启动身份验证的SSH2_MSG_USERAUTH_REQUEST消息，可在没有任何凭据的情况下成功进行身份验证。

1.2漏洞编号

CVE-2018-10993

1.3漏洞等级

高危

二、修复建议

2.1受影响版本

libssh 0.6以及更高的版本

2.2漏洞验证

sshlib1
                                                                              

2.3解决方案

  1. 及时对服务端libssh版本进行更新，官方0.74以及0.86版本更新地址如下：

https://www.libssh.org/2018/10/16/libssh-0-8-4-and-0-7-6-security-and-bugfix-release/

  1. 下载对应版本的patch文件，下载地址如下：

https://www.libssh.org/security/

三、天融信技术支持热线

天融信公司后续将积极为用户提供技术支持，进行持续跟踪并及时通报进展。

获取支持联系方式如下：

1.直接拨打400-610-5119电话联系当地技术支持团队获得支持。

2.直接拨打400-777-0777电话联系总部技术支持团队获得支持。

Written by