Mise à jour d'OpenSSH pour éviter de multiples failles de sécurité moyennes

Description

Ce problème concerne le service SSH des enregistreurs des séries 8000, 9000 et RideSafe (GT, MT & RT) (R5), utilisé pour l'approvisionnement de l'enregistreur. Un correctif de sécurité est désormais disponible pour couvrir plusieurs vulnérabilités de gravité moyenne, liées à la version OpenSSH utilisée jusqu'aux versions 5.24.0.0067 (GA) et 5.24.0.1001 (SP1) incluses.

Veuillez noter que ce correctif a mis à jour à la fois OpenSSH et la version d'OpenSSL utilisée avec lui, et que la licence OpenSSL de cette version est passée à la licence Apache v2.

Impact

La liste des vulnérabilités concernées est la suivante :

• CVE-2020-15778 Score CVSS 6.8. Injection de commande par scp. Sur R5, cette vulnérabilité est atténuée par la nécessité de s'authentifier en tant qu'utilisateur de l'interface de provisionnement, et par le fait que l'environnement de l'utilisateur de l'interface de provisionnement a un accès limité au système.
• CVE-2018-15473 Score CVSS 5. Enumération des comptes utilisateurs. Sur R5, cette vulnérabilité est atténuée par la présence d'un utilisateur unique de l'interface de provisionnement, avec un nom d'utilisateur connu. Il n'y a rien à énumérer.
• CVE-2021-28041 CVSS Score 4.6. La double libération de mémoire de ssh-agent peut conduire à la divulgation d'informations. Sur R5, cette vulnérabilité est atténuée par le fait que l'environnement utilisateur de l'interface de provisionnement a un accès limité au système.
• CVE-2021-41617 CVSS Score 4.4. escalade des privilèges dans une configuration non-définitive. Sur R5, cette vulnérabilité est atténuée par le fait que l'utilisateur de l'interface de provisionnement est unique.
• CVE-2020-14145 Score CVSS 4.3. Attaque potentielle de l'homme du milieu. Il n'y a pas d'atténuation pour cette vulnérabilité, à part le fait d'éviter d'utiliser l'interface de provisionnement ou de l'utiliser uniquement dans un environnement de confiance.

Solution

Mettez à jour les enregistreurs R5 utilisant la version 5.24.0.0067 (GA) ou 5.24.0.1001 (SP1) avec le correctif 41107 R1.0. Les prochaines versions de R5 ne seront pas affectées par ces problèmes. Pour les versions plus anciennes, limitez l'utilisation de l'interface de provisionnement uniquement en cas de nécessité, et uniquement dans un environnement de confiance. Pour désactiver complètement l'interface de provisionnement, si vous le souhaitez, contactez notre support technique.

Dans le cas où les enregistreurs R5 sont gérés sous Command Enterprise, veuillez rappeler aux clients que la version 2.16 est la version minimale qui supporte les enregistreurs R5 à 5.24.0.0067 (GA) ou 5.24.0.1001 (SP1).

Téléchargements

Visitez notre portail partenaires pour télécharger le patch 41107 R1.0.

Révision

10 mai 2023 - Rapport public initial

Clause de non-responsabilité

L'évaluation par March Networksde cette faille de sécurité dépend de la mise à jour des produits March Networks à la version recommandée et/ou au niveau du correctif de sécurité et du fait que le système a été déployé et configuré conformément aux recommandations de sécurité de March Networks et aux meilleures pratiques de l'industrie. IL EST DE LA RESPONSABILITÉ DU CLIENT D'ÉVALUER L'EFFET DE TOUTE FAILLE DE SÉCURITÉ. Le fait de ne pas mettre à jour les produits de March Networks et/ou de ne pas suivre les recommandations de March Networks ou les meilleures pratiques du secteur peut accroître le risque associé à une faille de sécurité. March Networks suit les meilleures pratiques de l'industrie pour remédier aux failles de sécurité de ses produits. Bien que March Networks ne puisse garantir que ses produits seront exempts de failles de sécurité, il s'engage à fournir des mises à jour et des correctifs de sécurité pour les produits qu'il prend en charge, s'il est établi qu'une faille de sécurité importante affecte les produits March Networks .