OpenSSH 用户枚举漏洞修复

详细描述

OpenSSH（OpenBSD Secure Shell）是 OpenBSD 计划组所维护的一套用于安全访问远程计算机的连接工具。该工具是 SSH 协议的开源实现，支持对所有的传输进行加密，可有效阻止窃听、连接劫持以及其他网络级的攻击。 OpenSSH 7.7 及之前版本中存在用户枚举漏洞，该漏洞源于程序会对有效的和无效的用户身份验证请求发出不同的响应。攻击者可通过发送特制的请求利用该漏洞枚举用户名称。

解决办法

厂商补丁：
应用如下补丁可以修复此漏洞，需要重新编译
https://github.com/openbsd/src/commit/779974d35b4859c07bc3cb8a12c74b43b0a7d1e0
OpenSSH
新版本OpenSSH-7.8已经修复这个安全问题，请到厂商的主页下载：
链接：
http://www.openssh.com/
http://www.openssh.com/portable.html

[!info]+ 提示
一般都直接连带编译升级 openssh 和 openssl 到最新版

风险级别

中风险

责任归属

系统管理员

加固风险

中风险，如无 saltstack 和管理控制台等界面加固失败会导致无法登录机器；
升级 openssh 可能会导致客户端使用低版本 jsch 连接服务端报错；
升级 openssh 可能会导致 sftp 无法使用;
由于需要连带升级 openssl 可能会在升级失败的情况下造成 openssl 故障无法使用。