Alert GCSA-23090 - Aggiornamento di sicurezza per OpenSSH

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256





******************************************************************

alert ID: GCSA-23090
data: 20 Luglio 2023
titolo: Aggiornamento di sicurezza per OpenSSH

******************************************************************

:: Descrizione del problema

E' stata rilasciata una nuova versione di OpenSSH che permette di
risolvere una vulnerabilita' RCE da remoto, igrave, CVE-2023-38048,
di cui esiste un PoC pubblico per lo sfruttamento fornito da Qualys.

Si consiglia di aggiornare prima possibile

Maggiori informazioni sono disponibili alla sezione "Riferimenti".


:: Software interessato

OpenSSH versioni precedenti alla 9.3p2


:: Impatto

Esecuzione da remoto di codice arbitrario (RCE)


:: Soluzioni

Aggiornare OpenSSH alla versione piu' recente
tramite gli upgrade del proprio sistema operativo,
o scaricando il software dal seguente link
https://www.openssh.com


:: Riferimenti

OpenSSH Security Advisory
https://www.openssh.com/security.html
https://www.openssh.com/txt/release-9.3p2

Qualys
https://blog.qualys.com/vulnerabilities-threat-research/2023/07/19/cve-2023-38408-remote-code-execution-in-opensshs-forwarded-ssh-agent
https://www.qualys.com/2023/07/19/cve-2023-38408/rce-openssh-forwarded-ssh-agent.txt

CSIRT Italia
https://www.csirt.gov.it/contenuti/poc-pubblico-per-lo-sfruttamento-della-cve-2023-38408-relativa-a-openssh-al01-230720-csirt-ita

Gentoo Linux
https://security.gentoo.org/glsa/202307-01

Debian Linux
https://security-tracker.debian.org/tracker/CVE-2023-38408

OpenBSD Journal
https://undeadly.org/cgi?action=article;sid=20230719180438

Mitre's CVE ID
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-38408




GARR CERT Newsletter subscribe/unsubscribe:
http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert




-----BEGIN PGP SIGNATURE-----

iF0EAREIAB0WIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCZLjhLgAKCRDBnEyTZRJg
QgFqAKCszyQRF+jFghFX0Q1yaOAAFcct8wCgveq9BGEFvIozPcwMQHXqjtKwlvA=
=WjNd
-----END PGP SIGNATURE-----