[公告]  OpenSSH:信息泄露漏洞(CVE-2016-0777)

描述

OpenSSH:roaming连接特性引起的客户端信息泄露(CVE-2016-0777)

从OpenSSH5.4版本起支持一个未标准化的roaming特性。如果不幸和SSH 服务器端建立的连接中断，且SSH 服务器端也支持roaming特性，客户端可以自动重连且重建SSH会话。roaming特性是默认在OpenSSH 客户端中开启的，即使SSH服务器没有该特性。

目前在该特性中发现了一个信息泄露的漏洞，该漏洞影响到默认配置的OpenSSH客户端，且有可能可以构造恶意的SSH服务器来窃取SSH客户端的的私钥信息。目前漏洞编号为 CVE-2016-0777。

目前影响版本
OpenSSH 5.4 版本均受影响

修复方式

1、CentOS、Redhat 7.0版本以上可以通过以下命令来升级：

yumclean

yumupdate openssh

2、ubuntu用户可以通过以下命令来升级：

apt-getupdate openssh

缓解措施

1、暂时停止 roaming 特性的使用可以在Linux系统通过在“/etc/ssh/ssh_config”或 “~/.ssh/config”设置以下参数来关闭该特性：UseRoaming no

2、或者在与服务器连接的过程中使用“-o 'UseRoaming no'”参数

360云安全团队持续为您保驾护航