安全公告

下文介绍了与 Google 的 Migrate to Virtual Machines 5.0 相关的所有安全公告。

如需接收最新安全公告，请执行以下操作之一：

  • 将此页面的网址添加到您的 Feed 阅读器。
  • 直接将 Feed 网址添加到您的 Feed 阅读器：https://cloud.google.com/migrate-to-virtual-machines-security-bulletins.xml

GCP-2024-040

发布日期：2024 年 7 月 10 日
说明 严重级别 备注

Migrate Connector 是用于将 VMware 来源连接到 Migrate to Virtual Machines 的虚拟设备，存在 OpenSSH 守护程序 (SSHD) 的安全漏洞 (CVE-2024-6387)。

该怎么做？

Migrate Connector 2.6.2497 版已发布，以缓解此问题，并正在逐步推出。如需应用它，请前往 Google Cloud 控制台上的 Migrate to Virtual Machines 页面。来源设备有可用的更新后，您会看到一条横幅，上面写着“您的来源有可用的更新”。 批准更新以在 Migrate Connector 上启动版本更新。 如需了解详情，请参阅修改 Migrate Connector 配置。

如需立即降低风险，请执行以下任一操作：

  1. 登录 Migrate Connector 并运行以下命令： 
    sudo sed -i 's/#LoginGraceTime 2m/LoginGraceTime 0/g' /etc/ssh/sshd_config
     或

    手动修改 /etc/ssh/sshd_config，取消备注 LoginGraceTime 的条目并将其值设置为 0。
  2. 运行以下命令重启 SSHD： 
    sudo systemctl restart ssh

解决了哪些漏洞？

最近在 OpenSSH 中发现了一个远程代码执行漏洞 CVE-2024-6387。该漏洞利用了可用于获取远程 shell 访问权限的竞态条件，使攻击者能够获取 root 访问权限。截至本文发布之时，利用该漏洞十分困难，攻击每台设备需要花费数小时的时间。我们没有发现任何利用该漏洞发起攻击的行为。

 严重 CVE-2024-6387