Shadowserver: bijna 11 miljoen SSH-servers kwetsbaar voor Terrapin-aanval

[Captain Kirk]

Bijna 11 miljoen SSH-servers wereldwijd zijn kwetsbaar voor de 'Terrapin-aanval' die eind december werd onthuld, waaronder bijna 367.000 in Nederland, zo laat de Shadowserver Foundation vandaag weten. Via de aanval kan een aanvaller de gebruikte authenticatie-algoritmes downgraden en bepaalde maatregelen tegen keystroke timing-aanvallen, die in OpenSSH 9.5 werden geïntroduceerd, uitschakelen.

Om de aanval uit voeren moet een aanvaller wel een man-in-the-middle-positie tussen de client en server hebben, waarbij het mogelijk is om verkeer op de TCP/IP-laag te onderscheppen en aan te passen. Daarnaast moet voor het opzetten van de verbinding gebruik worden gemaakt van ChaCha20-Poly1305 of de Cipher Block Chaining (CBC) encryptiemode met de optie 'Encrypt-then-MAC'.

Via SSH kunnen gebruikers op een beveiligde manier op bijvoorbeeld servers inloggen of op afstand machines beheren. De Terrapin-kwetsbaarheid, ook aangeduid als CVE-2023-48795, is volgens de onderzoekers vanwege de kwetsbare encryptiemodes lastig te patchen. Wel zijn inmiddels voor allerlei populaire programma's, waaronder OpenSSH, PuTTY en WinSCP, updates uitgekomen.

De Shadowserver Foundation is een in Nederland en de Verenigde Staten geregistreerde non-profitstichting die zich bezighoudt met de bestrijding van botnets en cybercrime. De organisatie scant regelmatig op kwetsbare systemen. Bij de laatste scan werd gecontroleerd op CVE-2023-48795. Dan blijkt dat bijna elf miljoen servers nog kwetsbaar zijn, aldus de onderzoekers, waarvan bijna 367.000 in Nederland.

 

bron: https://www.security.nl