GLSA-201601-01：OpenSSH：多种漏洞

high Nessus 插件 ID 87985

语言：

简介

远程 Gentoo 主机缺少一个或多个与安全有关的修补程序。

描述

远程主机受到 GLSA-201601-01 中所述漏洞的影响（OpenSSH：多种漏洞）

Qualys 报告 OpenSSH 客户端中包含的 “roaming” 代码存在两个问题，其可提供未记录的实验性支持，用于恢复 SSH 连接。OpenSSH 客户端可能受到诱骗而向恶意服务器泄漏其部分内存。此外，恶意服务器也可能利用一个缓冲区溢出，但其利用需要非默认的选项，而且其影响因为另一个缺陷而有所减轻。
影响：

远程攻击者可引诱用户连接至特别构建的 OpenSSH 服务器，进而可能导致泄漏用户的私钥。建议拥有未受通行短语保护的私钥的用户，在已经连接至不完全信任的 SSH 服务器时生成新的密钥。
请注意，这不需要特殊配置就容易受到影响，因为客户端上的漫游功能默认已启用。
变通方案：

可通过禁用漫游代码来解决这个问题。若要这样做，请将 “UseRoaming no” 添加到 SSH 客户端配置，或在命令行中指定 “-o ‘UseRoaming no’”。