这个漏洞影响过去二十年发布的所有OpenSSH版本

一个漏洞影响过去二十年发布的OpenSSH客户软件的所有版本，该应用软件于1999年发布。

这个安全漏洞本周收到了补丁，但由于OpenSSH客户软件嵌入到众多的应用软件和硬件设备中，因此补丁需要数月乃至数年才能部署到所有受影响的系统上。

OpenSSH中发现了用户名枚举漏洞

安全公司Qualys的安全研究人员上周发现了这个特殊的漏洞（http://seclists.org/oss-sec/2018/q3/124），他们在OpenBSD的OpenSSH源代码中发现了提交代码。

研究人员在分析了该提交代码后意识到，该代码无意中修复了自OpenSSH客户软件问世以来处于休眠状态的一个安全漏洞。

该漏洞让远程攻击者得以猜出OpenSSH服务器上注册的用户名。由于OpenSSH与从云托管服务器到物联网设备的众多技术结合使用，因此数十亿设备受到了影响。

正如研究人员解释的那样，攻击场景依赖攻击者通过畸形的身份验证请求（比如通过截断的数据包），试图在OpenSSH端点上进行身份验证。

出现这种情况时，易受攻击的OpenSSH服务器会以两种截然不同的方式作出反应。如果畸形的身份验证请求中包含的用户名不存在，服务器以身份验证失败回复作出响应。如果用户确实存在，服务器则在没有回复的情况下关闭连接。

这个小小的行为细节让攻击者得以猜出SSH服务器上注册的有效用户名。知道确切的用户名可能不会马上构成危险，但会将该用户名暴露在蛮力攻击或字典攻击的面前，而这种攻击也会猜测密码。

由于安装OpenSSH的用户群非常庞大，该漏洞不仅适用于攻击高价值目标，还适用于大规模利用漏洞的场景。

漏洞上周有了补丁，PoC代码已发布

这个名为CVE-2018-15473-的漏洞已经在OpenSSH的稳定版：1：6.7p1-1和1：7.7p1-1以及1：7.7p1-4不稳定分支版中打上补丁。补丁还逐渐部署到了Debian，很可能逐渐部署到其他Linux发行版。

用于测试服务器是否易受攻击（或用于攻击服务，这取决于你站在哪一个阵营）的概念证明（PoC）代码在多个地方均有提供。

NVISO Labs的迪迪尔?斯蒂文斯（Didier Stevens）发布了测试服务器有无该漏洞的逐步教程（https://blog.nviso.be/2018/08/21/openssh-user-enumeration-vulnerability-a-close-look/）。该博文还包含关于日志记录OpenSSH事件的信息，这些事件可能会暴露有人企图在易受攻击的服务器上钻这个漏洞的空子。

还有应对措施

因种种原因而无法安装补丁的系统管理员可以采取各种应对措施，比如禁用OpenSSH身份验证，使用另外的方式登录到远程设备。

如果这行不通，OpenSSH客户软件又是连接设备的唯一方法，那么系统管理员可以禁用OpenSSH的“公钥身份验证”方法，易受攻击的代码就驻留在其中。

这意味着系统管理员将无法使用OpenSSH身份验证密钥，每次通过OpenSSH登录到设备时都必须输入用户名和密码。