SSH secoué, pas agité par la vulnérabilité Terrapin

Une vulnérabilité dans le protocole SSH peut être exploitée par un adversaire bien placé pour affaiblir la sécurité des connexions des gens, si les conditions s’y prêtent. Lors d’une attaque par homme du milieu réussie, l’adversaire peut être en mesure de forcer les clients SSH à utiliser des méthodes d’authentification plus faibles et à désactiver certains mécanismes de défense. Il est difficile, pour l’instant, de déterminer l’impact réaliste véritable de la faille, car tout dépend des configurations client-serveur individuelles, des implémentations du protocole et d’autres variables. SSH est principalement utilisé pour se connecter à des systèmes distants afin de les utiliser ou de les administrer via une interface en ligne de commande. La technique, baptisée attaque Terrapin, est décrite dans une présentation technique partagée cette semaine par Fabian Bäumer, Marcus Brinkmann et Jörg Schwenk, qui sont des scientifiques informaticiens de l’université Ruhr de Bochum, en Allemagne. En octobre, après avoir découvert la vulnérabilité, ils l’ont divulguée en privé aux développeurs de clients et de serveurs SSH pour y remédier. Maintenant, c’est public avec des correctifs et des informations qui sortent. Le trio a publié des scripts de preuve de concept et d’autres matériaux associés sur GitHub si vous êtes intéressé par les détails de bas niveau. Il existe également un outil open source qui peut être utilisé pour déterminer si votre client ou serveur SSH est vulnérable à l’attaque Terrapin. En conséquence des résultats de cette étude, des mises à jour logicielles SSH devraient parvenir aux utilisateurs, et des contournements sont disponibles en attendant. Ce n’est pas une raison de paniquer, car quelqu’un devra se placer entre votre connexion vulnérable et votre serveur pour l’attaquer ; il s’agit principalement d’une attaque de régression plutôt qu’un problème d’injection de commandes ou de déchiffrement ; et il y a des moyens de vous protéger immédiatement des attaques Terrapin.