Vulnerabilidade crítica no OpenSSH

1. Foi identificada uma vulnerabilidade crítica na ferramenta de acesso remoto OpenSSH que, se explorada sob determinadas condições, possibilita execução remota de código com privilégios de root, conforme descrito na CVE:

– https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-6387

2. O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) solicita às instituições da Administração Pública Federal (APF) e orienta as demais entidades/instituições que apliquem as atualizações de segurança do OpenSSH com a urgência que o caso requer.

3. Além da atualização do software, as seguintes medidas de prevenção devem ser adotadas:

– Utilize chaves SSH: Desabilite a autenticação por login e senha e permita somente o uso de chaves SSH para autenticação. Monitore e gerencie as chaves SSH autorizadas no servidor para garantir que apenas chaves autorizadas estejam sendo usadas;

– Para ambientes onde a utilização de chaves seja inviável, exija o uso de Multi-Fator de Autenticação (MFA) para a autenticação. Um guia prático pode ser consultado em:

https://ubuntu.com/tutorials/configure-ssh-2fa

– Utilize o Protocolo SSHv2: Desative o suporte ao SSHv1 e permita apenas o
uso do SSHv2;

– Evite o uso de algoritmos antigos e vulneráveis. Um guia com recomendações sobre algoritmos e tamanhos de chaves pode ser consultado em: https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Publications/TechGuidelines/TG02102/BSI-TR-02102-4.pdf

– Configuração de Timeouts de Conexão: Configure “ClientAliveInterval” e “ClientAliveCountMax” para desconectar automaticamente sessões inativas após um período de tempo especificado;

– Monitoramento de Logs: Ative a geração de logs e monitore regularmente os logs do servidor SSH em busca de atividades suspeitas ou tentativas de acesso não autorizadas;

– Mais opções podem ser consultadas em: https://man.openbsd.org/sshd_config

4. Devido à relevância do OpenSSH na operação de redes e ao risco elevado de comprometimento, recomenda-se que o serviço seja continuamente monitorado até que as correções sejam implementadas.

5. O CTIR Gov ressalta que, de acordo com os artigos 15 e 17 do Decreto Nº 9.637, de 26 de dezembro de 2018, que institui a Política Nacional de
Segurança da Informação, cada órgão é responsável pela proteção cibernética de seus ativos de informação. Referência:

– https://www.in.gov.br/materia/-/asset_publisher/Kujrw0TZC2Mb/content/id/56970098/do1-2018-12-27-decreto-n-9-637-de-26-de-dezembro-de-2018-56969938