[linux升级openssh]linux中openssh漏洞修复步骤详解

时间:2019-08-09  来源:linux  阅读:

近期有几台主机上线,上线的主机在进行安全合规扫描时,发现如下openssh漏洞。其中有几个是陈年老漏洞,主要为CVE-2014-1692漏洞(openssh schnorr.c漏洞)为今天一月份的新漏洞。由于主机没有配置外网连接,而且针对suse和redhat不同的版本,所以使用用了源码包编译升级openssh版本的方式修复。

20141111160451

一、准备相关包

zlib-1.2.5.tar.bz2

openssl-1.0.1.tar.gz

openssh-6.6p1.tar.gz

相关包已上传百度云盘上。

二、准备其他登录方式

由于其间有卸载ssh的操作,以免登录不上主机,可以选择先配置telnet或者vnc来进行远程操作,这里以telnet为例,如下:

 代码如下 # vim /etc/xinetd.d/telnet
service telnet
{
        socket_type     = stream
        protocol        = tcp
        wait            = no
        user            = root
        server          = /usr/sbin/in.telnetd
        disable         = yes
}

注,如无telnet-server包,需要先安装该包后,再配置以上选项。

配置完后,重启xinetd守护进程生效并查看是否有23端口的监听:

# service xinetd restart
# netstat -tunlp
安全起见也可以考虑修改下telnet端口或通过iptables进行源地址指定 。

三、程序升级

1、openssl 包的安装

 代码如下 # tar -zxvf openssl-1.0.1.tar.gz
# cd openssl-1.0.1
# ./config -fPIC threads shared
# make
# make test
# make install
# mv /usr/bin/openssl /usr/bin/openssl.OFF
# mv /usr/include/openssl /usr/include/openssl.OFF
//该步骤可能提示无文件,忽略即可
# ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl
# ln -s /usr/local/ssl/include/openssl /usr/include/openssl
//移走原先系统自带的openssl,将自己编译产生的新文件进行链接

注:不能卸载原openssl包,否则会影响系统的ssl加密库文件,除非你可以做两个软连接libcryto和libssl 。

配置文件搜索路径:

 代码如下

# chmod 755 /usr/local/ssl/lib
# echo "/usr/local/ssl/lib" >> /etc/ld.so.conf
# /sbin/ldconfig -v
# openssl version -a
OpenSSL 1.0.1 14 Mar 2012
built on: Fri Mar 16 17:14:50 CST 2012
platform: linux-x86_64
options:  bn(64,64) rc4(16x,int) des(idx,cisc,16,int) idea(int) blowfish(idx)
compiler: gcc -fPIC -DOPENSSL_PIC -DZLIB -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -Wa,--noexecstack -m64 -DL_ENDIAN -DTERMIO -O3 -Wall -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM -DWHIRLPOOL_ASM -DGHASH_ASM
OPENSSLDIR: "/usr/local/ssl"

2、卸载原openssh包

备份启动脚本

# cp /etc/init.d/sshd  /root/
停止SSHD服务

# /sbin/service sshd stop

卸载系统里原有Openssh

# rpm  -qa|grep openssh  //查询系统原安装的openssh包,全部卸载。
# rpm -e openssh --nodeps
# rpm -e openssh-server --nodeps
# rpm -e openssh-clients --nodeps
# rpm -e openssh-askpass
或rpm -e --nodeps `rpm -qa |grep openssh`

3、解压安装zlib包

 代码如下

# tar -jxvf zlib-1.2.5.tar.bz2 //首先安装zlib库,否则会报zlib.c错误无法进行
# cd zlib-1.2.5
# ./configure
# make&&make install

4、升级openssh包

先将将/etc/ssh的文件夹备份:

 代码如下 # mv /etc/ssh /etc/ssh_bak
# tar -zxvf openssh-6.6p1.tar.gz
# ./configure --sysconfdir=/etc/ssh --with-ssl-dir=/usr/local/ssl  --with-md5-passwords --mandir=/usr/share/man  --with-pam
# make
# make install

编译过程中可能报如下错:

checking for EVP_sha256... yes
checking whether OpenSSL has NID_X9_62_prime256v1... yes
checking whether OpenSSL has NID_secp384r1... yes
checking whether OpenSSL has NID_secp521r1... yes
checking if OpenSSL"s NID_secp521r1 is functional... yes
checking for ia_openinfo in -liaf... no
checking whether OpenSSL"s PRNG is internally seeded... yes
configure: error: PAM headers not found
如果报此错误需要安装相应版本的 pam-devel 包。安装完再重新编译即可 。

5、启动openssh服务

编译安装好后,可以通过sshd -d 进行验证,如果没有报错就可以重新启用openssh了

 代码如下

# cp -p contrib/redhat/sshd.init /etc/init.d/sshd
(suse: cp contrib/suse/rc.sshd /etc/init.d/sshd)
# chmod +x /etc/init.d/sshd
# chkconfig --add sshd
# cp sshd_config /etc/ssh/sshd_config  (如提示覆盖,yes回车)
# cp sshd /usr/sbin/sshd   (如提示覆盖,yes回车)
(redhat:cp ssh-keygen /usr/bin/ssh-keygen)

通过下面的命令启动ssh服务:

 代码如下 service sshd start 或 service sshd restart

注:ssh -V //如果看到了新的版本号就没问题啦!如果没有ssh这条命令,执行(redhat、suse: ln -s /usr/local/bin/ssh /usr/bin/ssh)

[linux升级openssh]linux中openssh漏洞修复步骤详解

http://m.bbyears.com/caozuoxitong/61094.html

推荐访问:linux openssh升级
相关阅读 猜你喜欢
本类排行 本类最新