Connect with us

News

Libssh scoperta una grave vulnerabilità

Redazione

Published

on

Una vulnerabilità grave è stata scoperta nella libreria di implementazione Secure Shell (SSH) nota come Libssh che potrebbe consentire a chiunque di ignorare completamente l’autenticazione e ottenere un controllo amministrativo illimitato su un server vulnerabile senza richiedere una password.

La vulnerabilità della sicurezza, tracciata come CVE-2018-10933 , è un problema di bypass di autenticazione che è stato introdotto in Libssh versione 0.6 rilasciata all’inizio del 2014, lasciando migliaia di server aziendali aperti agli hacker negli ultimi quattro anni. La vulnerabilità risiede a causa di un errore di codifica in Libssh ed è “ridicolmente semplice” da sfruttare.

Secondo un avviso di sicurezza pubblicato martedì, tutto ciò che un utente malintenzionato deve fare è inviare un messaggio “SSH2_MSG_USERAUTH_SUCCESS” a un server con una connessione SSH abilitata quando si aspetta un messaggio “SSH2_MSG_USERAUTH_REQUEST”.

A causa di un difetto logico in libssh, la libreria non riesce a convalidare se il pacchetto di “accesso riuscito” in entrata è stato inviato dal server o dal client e non riesce a controllare se il processo di autenticazione è stato completato o meno.



Pertanto, se un utente malintenzionato remoto (client) invia questa risposta “SSH2_MSG_USERAUTH_SUCCESS” a libssh, ritiene che l’autenticazione abbia avuto esito positivo e concederà al malintenzionato l’accesso al server, senza la necessità di immettere una password.

Se Libssh è installato sul tuo sito web e principalmente se stai utilizzando il componente server, ti consigliamo vivamente di installare le versioni aggiornate di Libssh il prima possibile.

Ti potrebbe interessare

Hanno hackerato l’account GitHub di Gentoo L... Ieri (28 giugno 2018) hai per caso scaricato qualcosa dai repository su GitHub di Gentoo? Allora ti conviene considerare compromesso tutto ciò che ha...
Partecipa al Contest Segui i nuovi contest di HackerJournal. Collegati alla pagina e divertiti. VAI AI CONTEST
Hacker rivela vulnerabilità Zero-Day in Windows no... Un ricercatore di sicurezza ha divulgato pubblicamente i dettagli di una vulnerabilità zero-day precedentemente sconosciuta nel sistema operativo Wind...
AnonPlus colpisce Symantec Un sito che fa parte della galassia della società Symantec noto produttore di antivirus, è stato defacciato e messo offline. Il collettivo Anonplus ha...

Lo staff di Hackerjournal che vi fornisce ogni giorno notizie, recensioni, anteprime e interviste legate alla sicurezza digitale.

Facebook Comment


In Edicola


Dal 16 OTTOBRE 2018!

Forum

Facebook

Collezione HJ

Trending

IN EDICOLA