scp 命令中发现了一个隐藏了 35 年的漏洞

业余杂谈 herman 611浏览
公告:“业余草”微信公众号提供免费CSDN下载服务(只下Java资源),关注业余草微信公众号,添加作者微信:xttblog,发送下载链接帮助你免费下载!
本博客日IP超过1800,PV 2600 左右,急需赞助商。
极客时间所有课程通过我的二维码购买后返现24元微信红包,请加博主新的微信号:xttblog,之前的微信号好友位已满,备注:返现
所有面试题(java、前端、数据库、springboot等)一网打尽,请关注文末小程序
视频教程免费领

在 Hacker News 上,最近被公布的一个 scp 命令漏洞上了头条。目前该漏洞可能影响着大部分的计算机,并且隐藏了 35 年才被发现!

最近有人在通过 Java 使用 JSch 库,发现执行 SCP 命令的系统中存在一些问题。

 // exec 'scp -f rfile' remotely
String command = "scp -f " + from;
Channel channel = session.openChannel("exec");
((ChannelExec) channel).setCommand(command);
// get I/O streams for remote scp
OutputStream out = channel.getOutputStream();
InputStream in = channel.getInputStream();
channel.connect();

通常我们执行命令,可能的操作如下:

scp -f /xttblog/user/provided/path

但是由于 scp 没有对这个路径进行转义或限制,那么我们也可以执行下面的命令:

# path = '/; touch /tmp/foo'
scp -f /; touch /tmp/foo

这样一来,就会先执行 scp -f 命令,然后再执行 touch /tmp/foo 命令。

原本作者以为这是 JSch 库的漏洞,最后就给 JSch 提了漏洞报告。最终 JSch 反馈说这是 OpenSSH 的漏洞,OpenSSH 的 SCP 命令和 Rsync 也存在同样的问题。

OpenSSH 的维护人员反馈说:

代码规范问题

由此可见,这又是一个规范问题。

针对这个 scp 的漏洞,建议大家使用 STFP 或者使用 rsync -s。

针对这个漏洞,有人整理了一个时间线!

SCP 命令漏洞时间线

目前,该漏洞已被修复,升级可以到这里下载补丁:https://github.com/openssh/openssh-portable/commit/6010c0303a422a9c5fa8860c061bf7105eb7f8b2

参考资料

业余草公众号

最后,欢迎关注我的个人微信公众号:业余草(yyucao)!可加QQ1群:135430763(2000人群已满),QQ2群:454796847(已满),QQ3群:187424846(已满)。QQ群进群密码:xttblog,想加微信群的朋友,之前的微信号好友已满,请加博主新的微信号:xttblog,备注:“xttblog”,添加博主微信拉你进群。备注错误不会同意好友申请。再次感谢您的关注!后续有精彩内容会第一时间发给您!原创文章投稿请发送至532009913@qq.com邮箱。商务合作可添加助理微信进行沟通!

本文原文出处:业余草: » scp 命令中发现了一个隐藏了 35 年的漏洞