OpenSSH漏洞远程代码执行漏洞安全通告（CVE-2016-10009）

360网站管家

您好，近期国外漏洞平台发布了一个 OpenSSH（CVE-2016-10009） 远程代码执行漏洞公告，OpenSSH的 ssh-agent 被曝存在漏洞（这个进程默认不启动，只在多主机间免密码登录时才会用到），黑客通过利用漏洞可以实现远程命令执行，由于漏洞利用条件相对比较苛刻，官方漏洞评级为“中危”。
　    为了避免该漏洞影响您的业务系统安全，360°网站管家建议您对自身业务系统进行自查，确认是否受该漏洞影响，如受影响，建议您尽快进行升级操作。

【漏洞概述】
        官方OpenSSH 7.4 已于 2016 年 12 月 19 日正式发布，新版本移植了在 Linux、BSD、以及其它类 Unix 平台上 SSH 2.0 协议的完整支持，主要修复了上一个版本中发现的 bug 和安全问题。

【漏洞详情】
         sshd服务器可以利用转发的 agent-socket 文件欺骗本机的 ssh-agent 加载一个恶意 PKCS#11 模块，从而任意执行代码

【风险等级】  中风险

【漏洞风险】
          黑客通过利用漏洞可以实现远程命令执行，严重情况下可能会导致业务中断或数据泄露。

【影响版本】
          OpenSSH 7.3 及以下版本

【安全版本】
          OpenSSH 7.4

【修复建议】
           提前做好备份工作，将 OpenSSH 升级至最新版本，OpenSSH 7.4 已于 2016 年 12 月 19 日正式发布。

【漏洞参考】
1）http://www.openssh.com/txt/release-7.4
2）www.securityfocus.com/bid/94968/info