OpenSSH 命令注入漏洞（CVE-2023-51385）漏洞预警

漏洞预警

OpenSSH 命令注入漏洞（CVE-2023-51385）漏洞预警

---

---

一、漏洞概述

近日，小众安全监测到OpenSSH发布安全更新，修复了一个恶意 Shell 字符导致的命令注入漏洞。

OpenSSH 是用来进行远程控制或在计算机之间传送文件的连接工具。在OpenSSH 9.6版本之前的ssh中，如果用户名或主机名中含有shell元字符（如 | ’ "等），并且ssh_config中ProxyCommand、LocalCommand指令或"match exec"谓词通过%u、%h或类似的扩展标记引用用户或主机名时，可能会发生命令注入,Git未禁止用户或主机名中的shell元字符，存储库可能包含一个带有shell元字符的子模块用户或主机名，可能导致产生命令注入漏洞。

漏洞发布日期：2023-12-25

漏洞编号：CVE-2023-51385

CVSS 评分: 9.8

受影响版本：OpenSSH < 9.6

不受影响版本：OpenSSH >=9.6/9.6p1

POC是否公开：是

参考链接：https://www.openssh.com/txt/release-9.6

二、漏洞检测

由于更新 OpenSSH 版本可能会有新老版本共存的情况，为保证版本检测的准确性，用户可使用如下命令查看当前使用的 OpenSSH 版本，判断是否在影响范围内：

ssh -V
1

三、 漏洞防护

目前官方已在最新版本中修复了该漏洞，请受影响的用户尽快升级版本进行防护

官方下载链接： https://www.openssh.com/releasenotes.html

---

四、打广告时间

感谢阅读，如果觉得还不错的话，欢迎分享给更多喜爱的朋友～