SSH Terrapin Attack
Descripción del ataque
Se han descubierto tres vulnerabilidades para el software OpenSSH con versiones anteriores a las 9.5 denominadas. Como “Terrapin Attack”. La correcta explotación de estas vulnerabilidades le permite a un atacante remoto obtener un ataque de “Hombre en el medio” rompiendo la integridad del canal seguro que establece el servicio SSH. Para ejecutar el ataque se requiere que la comunicación se establezca con los algoritmos “ChaCha20-Poly1305” o “CBC con Encrypt-then-MAC”. Ambos son algoritmos de cifrado,
fueron agregados en el protocolo SSH desde el 2010, fuentes aseguran que esta criptografía está presente en un 77% de los servidores SSH publicados en internet. La siguiente figura muestra de manera esquemática la metodología del ataque Terrapin. Durante el intercambio de información tcp (HandShake) entre el cliente y el servidor, el atacante inserta el mensaje “IGNORE” antes de que se establezca la comunicación. Esto cambia el número de secuencia y le permite al atacante eliminar el mensaje “EXT_INFO” del servidor. A través de esto, es posible alterar la configuración de la conexión, degradar la seguridad utilizada, deshabilitar extensiones y potencialmente explotar debilidades más profundas en implementaciones específicas de clientes o servidores.
Versiones vulnerables
Las versiones de OpenSSH anteriores a la 9.6 y otros software y bibliotecas, incluidos LibSSH, PuTTY, AsyncSSH, Dropbear SSH, Transmit, paramiko y golang-go.crypto, son vulnerables.
Impacto
Esta vulnerabilidad plantea un riesgo significativo, particularmente para las organizaciones que dependen en gran medida de SSH para comunicaciones seguras, lo que incluye muchas plataformas de software populares. La explotación de esta vulnerabilidad puede provocar filtraciones de datos, tomas de control del sistema y otras actividades maliciosas, y ocurren rápidamente.
Recomendaciones
• Detección inmediata de servicios OpenSSH < 9.6 priorizando los expuestos a internet.
• Parcheo de los servicios descubiertos.
Referencias
https://blog.qualys.com/vulnerabilities-threat-research/2023/12/21/ssh-attack-surface-cve-2023-48795-find-and-patch-before-the-grinch-arrives-with-cybersecurity-asset-management
https://helpnetsecurity.com/2023/12/19/ssh-vulnerability-cve-2023-48795/
https://www.openssh.com/security.html
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-48795
https://www.hkcert.org/security-bulletin/openssh-security-restriction-bypass-vulnerability_20231219
https://thecyberthrone.in/2023/12/19/terrapin-attack-in-openssh
