Alvorlig sårbarhet gjeninnført i OpenSSH

Qualys Threat Research Unit offentliggjorde mandag detaljer om en svært alvorlig sårbarhet (CVE-2024-6387) i OpenSSH (Secure Shell), en mye brukt server- og klientprogramvare for administrativ fjerntilgang til blant annet Linux-servere. Sårbarheten åpner for fjernkjøring av vilkårlig kode med root-privilegier på de sårbare systemene.

Sårbarheten skyldes en «race condition», som generelt er navnet på en tilstand hvor to eller flere programvaretråder eller prosesser får tilgang til delte ressurser eller data samtidig. Dette kan resultere i uforutsigbar og utilsiktet atferd.

Qualys skal ha utviklet et konseptbevis som er i stand til å utnytte sårbarheten, men oppgir at den er utfordrende å utnytte nettopp på grunn av at den avhenger av «race condition»-tilstanden. Ifølge Qualys vil et vellykket angrep kreve mye tid og flere forsøk.