Se ha descubierto una vulnerabilidad crítica, identificada como CVE-2024-3094, en el servidor OpenSSH, poniendo en riesgo a los sistemas Linux.
Esta falla permite que los atacantes eludan la autenticación del servicio, comprometiendo potencialmente datos y sistemas.
La vulnerabilidad reside en la biblioteca XZ Utils, que es utilizada por OpenSSH para la compresión de datos. En su versión 3.6, XZ Utils fue comprometida con una puerta trasera, permitiendo que los atacantes exploten la falla.
Este hallazgo fue realizado por el ingeniero de software de Microsoft, Andres Freund, mientras investigaba inicios de sesión lentos de SSH en una máquina Linux.
Red Hat recomienda encarecidamente que los sistemas que ejecutan versiones de desarrollo y experimentales de Fedora sean apagados inmediatamente.
Aunque OpenSSH no utiliza liblzma directamente, algunas distribuciones, como Debian, aplican parches a OpenSSH para soportar notificaciones de Systemd, que depende de liblzma.
Las distribuciones Linux afectadas por la puerta trasera de OpenSSH incluyen Debian Unstable y Testing. Sin embargo, las versiones regulares de Debian, como Bookworm, permanecen seguras.
RHEL no se ve afectado, pero Red Hat advierte contra el uso de instalaciones actuales de Fedora Rawhide.
Es crucial que los usuarios y administradores de sistemas afectados tomen medidas inmediatas para mitigar esta amenaza, actualizando sus sistemas o implementando medidas alternativas de seguridad.