# Vulnérabilité OpenSSH **URL:** \ **Category:** Support Debian\ **Tags:** ssh\ **Created:** [Juillet 1, 2024, 9:41 UTC](https://www.debian-fr.org/t/vulnerabilite-openssh/90129 "2024-07-01T09:41:32Z")\ **Posts on this page:** 5\ **Page:** 1
**Author:** ![euchcat](https://www.debian-fr.org/user_avatar/www.debian-fr.org/euchcat/32/10035_2.png) [@euchcat](https://www.debian-fr.org/u/euchcat)\ **Post date:** [Juillet 1, 2024, 9:41 UTC](https://www.debian-fr.org/t/vulnerabilite-openssh/90129/1 "2024-07-01T09:41:32Z")
Bonjour les Debianeux ! Je vous remonte ici une info de Marc Shaefer du GULL ( **G** roupe **U** tilisateurs **L** inux **L** ausanne) C’est pour info, la bonne santé de votre Debian et pour ceux que ça intéresse. A + Lionel. Bonjour, Il semblerait que SSH ait eu quelques soucis dans le code de terminaison (signal handler pas signal-safe), que le bug a été introduit, puis corrigé, puis réintroduit. Il ne semble pas s’agir d’une attaque, mais d’une simple régression (d’où le nom de cette vulnérabilité: regresshion). La dernière fois qu’il a été réintroduit c’était en 2020 (V\_8\_5\_P1). Pour Debian, cela signifie probablement que buster (fin de support hier, upgradez!) et bullseye (fin de support en 2026) ne sont pas vulnérables. Mais si vous avez un bookworm (fin de support 2028) avec un SSH non firewallé, je vous recommande de mettre à jour maintenant. Toutes les infos Debian ici: [CVE-2024-6387](https://security-tracker.debian.org/tracker/CVE-2024-6387) Le background concernant le bug dans OpenSSH: [https://www.qualys.com/2024/07/01/cve-2024-6387/regresshion.txt](https://www.qualys.com/2024/07/01/cve-2024-6387/regresshion.txt) PS: cette fois, le bug n’est pas lié au code introduit, notamment systemd, par les distributions Linux, mais bien dans la base de code OpenSSH, donc cela concerne probablement toutes les distributions, en particulier celles avec des cycles de maintenance courts. PS/2: si buster et bullseye sont bien non vulnérables, typiquement ma seule exposition depuis 2020 a été un honey-pot en conteneur, ouf! * * * gull mailing list ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Juillet 1, 2024, 10:20 UTC](https://www.debian-fr.org/t/vulnerabilite-openssh/90129/2 "2024-07-01T10:20:29Z")
Cici dit si les mises à jour de sécurité ont été appliquées, alros bookworm n’est plus vulnérable. | Source Package | Release | Version | Status | | --- | --- | --- | --- | | openssh (PTS) | bullseye (security), bullseye | 1:8.4p1-5+deb11u3 | fixed | | | bookworm | 1:9.2p1-2+deb12u2 | vulnerable | | | bookworm (security) | 1:9.2p1-2+deb12u3 | fixed | | | sid, trixie | 1:9.7p1-6 | vulnerable | ---
**Author:** ![vbreton](https://www.debian-fr.org/user_avatar/www.debian-fr.org/vbreton/32/11400_2.png) [@vbreton](https://www.debian-fr.org/u/vbreton)\ **Post date:** [Juillet 1, 2024, 11:43 UTC](https://www.debian-fr.org/t/vulnerabilite-openssh/90129/3 "2024-07-01T11:43:00Z")
Un `systemctl stop ssh` évite de faire tourner en permanence le serveur ssh. Un `systemctl start ssh` l’active quand on souhaite l’utiliser. Ça peut être suffisant lorsque serveurs et stations de travail sont à proximité. ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Juillet 1, 2024, 11:45 UTC](https://www.debian-fr.org/t/vulnerabilite-openssh/90129/4 "2024-07-01T11:45:19Z")
Ou encore utiliser du knock at the door ---
**Author:** ![euchcat](https://www.debian-fr.org/user_avatar/www.debian-fr.org/euchcat/32/10035_2.png) [@euchcat](https://www.debian-fr.org/u/euchcat)\ **Post date:** [Juillet 1, 2024, 2:11 UTC](https://www.debian-fr.org/t/vulnerabilite-openssh/90129/5 "2024-07-01T14:11:29Z")
C’est bien ce qui est préconisé dans le texte original: « _Mais si vous avez un bookworm (fin de support 2028) avec un SSH non_ _firewallé, je vous recommande de mettre à jour maintenant._ »