漏洞等级 High

CVE编号 CVE-2023-51385

漏洞详情

昊之云监测到OpenSSH发布安全更新，其中修复了一个命令注入漏洞，在9.6版本之前的OpenSSH中，用户名和主机名中可以通过注入恶意Shell字符导致命令注入,该漏洞是由于OpenSSH中的ProxyCommand命令中未对%h，%p表示的用户名和主机名输入进行安全过滤，导致当攻击者可以控制%h,%p值时可以注入恶意Shell字符进行命令注入攻击，常见攻击场景如一个不受信任的 Git 仓库可能存在含有 shell 元字符的用户名或主机名子模块，当用户递归更新该仓库时则会触发漏洞执行。
鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

影响范围

OpenSSH<9.6

修复方案

注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外
目前，官方已有可更新版本，建议用户尽快更新到安全版本：
OpenSSH >= 9.6

参考链接

https://www.openssh.com/openbsd.html