CVE-2008-5161

SSH服务器CBC加密模式漏洞

1.描述

一般经过我们的加固，Linux环境中一般都已经采用AES这种算法加密，AES有五种加密模式（CBC、ECB、CTR、OCF、CFB），centos7.x系统启动sshd服务后，系统默认选择CBC的机密模式，在对安全要求比较高的生产环境中，一般是不允许CBC加密的，我们需要将CBC的加密方式修改为CTR或者GCM。

风险级别：低

修复建议：禁用CBC模式密码加密，并启用CTR或GCM密码模式加密。

2.处理方法

#ssh -Q cipher //查看你当前ssh使用的算法

[root@003 ~]# ssh -Q cipher

3des-cbc
blowfish-cbc
cast128-cbc
arcfour
arcfour128
arcfour256
aes128-cbc
aes192-cbc
aes256-cbc
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com

修改sshd_conf配置

#vim /etc/ssh/sshd_config

查询找到#Ciphers and keying

在其下面增加配置项，删除相关CRC内容

Ciphers aes128-ctr,aes192-ctr,aes256-ctr,arcfour,arcfour128,arcfour256,aes128-gcm@openssh.com,aes256-gcm@openssh.com,chacha20-poly1305@openssh.com

重启SSHD   

#systemctl restart sshd

测试ssh的cbc连接

ssh -vv -oCiphers=aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,aes192-cbc,aes256-cbc 127.0.0.1

输入以上代码，如果没有要求输入密码，则表示成功。