微慑信息网

漏洞扫描器 Nexpose 默认的 SSH 配置中启用了过时加密算法

6 月 4 日消息,网络安全公司 Rapid7 的专家近期披露 Nexpose 漏洞扫描器出货时默认的 SSH 配置中存在一个安全漏洞( CVE-2017-5243 ),可允许黑客利用过时算法实施密钥交换等功能。

nexpose-appliances-rapid7

Nexpose 扫描设备能够帮助用户分析漏洞并减少黑客攻击。由于 Nexpose 启用了较弱及过时的加密算法(例如:AES192-CBC、Blowfish-CBC 与 3DES-CBC,诸如 diffie-hellman-group-exchange-sha1 的 KEX 算法等),涉及硬件设备认证的攻击将更容易得逞。

wechatimg180

“此漏洞被分类为 CWE-327(使用已被破解或存在风险的加密算法)。鉴于与物理设备的 SSH 连接需使用“管理员”帐户,该账户在设备上又具有 sudo 访问权限,因此漏洞的 CVSS 基本评分为 8.5。 

专家提醒,具有 root 访问权限的管理员可在 Nexpose 中编辑 / etc / ssh / sshd_config 文件修复问题,以确保设备仅接受现代密码、密钥交换与 MAC 算法。而在更新配置文件后,管理员还需要验证是否已正确更改应用,任何配置遗漏或将触发服务器在重启时出现语法错误,从而导致连接失败。此外,安全专家还建议 Nexpose 设备的管理员需尽快更新系统应用、删除服务器对于过时加密算法的支持。

原作者:Pierluigi Paganini,译者:青楚
本文由 HackerNews.cc 翻译整理,封面来源于网络。
转载请注明“转自 HackerNews.cc ” 并附上原文链接。

 

from hackernews.cc.thanks for it.

赞(0) 打赏
转载请附本站链接,未经允许不得转载,,谢谢:微慑信息网-VulSee.com » 漏洞扫描器 Nexpose 默认的 SSH 配置中启用了过时加密算法

评论 抢沙发

微慑信息网 专注工匠精神

微慑信息网-VulSee.com-关注前沿安全态势,聚合网络安全漏洞信息,分享安全文档案例

访问我们联系我们

觉得文章有用就打赏一下文章作者

非常感谢你的打赏,我们将继续提供更多优质内容,让我们一起创建更加美好的网络世界!

支付宝扫一扫

微信扫一扫

登录

找回密码

注册