Die jüngste Sicherheitslücke in OpenSSH - aus gutem Grund RegreSSHion genannt - ist in Flownative Beach bereits gepatcht.

Die Schwachstelle mit der ID CVE-2024-6387, die am 1. Juli veröffentlicht wurde, wird mit 8,1 von 10 Punkten bewertet. Wir verstehen also, dass unsere Kunden über mögliche Auswirkungen auf unser Flownative Beach Cloud Hosting besorgt sind.

Das Problem in zwei Sätzen: Es gibt eine Race Condition, die dazu führen kann, dass der SSH-Server einige Signale auf unsichere Weise verarbeitet. Ein nicht authentifizierter, entfernter Angreifer kann dies auslösen, indem er sich nicht innerhalb einer bestimmten Zeitspanne authentifiziert.

In der Praxis dauert es mindestens 6-8 Stunden, um das Problem auszunutzen. Zeit, die an unserem Strand verschwendet wird...

Die Sicherheitslücke wurde am 1. Juli bekannt gegeben, unsere nächtlichen Builds enthielten die an diesem Tag veröffentlichten gepatchten Versionen. Gestern, am 2. Juli, war unser SSH-Gateway also bereits gepatcht und gesichert.

In Flownative Beach hat jede Instanz einen zweiten SSH-Server. Um diesen zu aktualisieren, können Sie einfach ein Deployment auslösen und Sie erhalten die aktuelle Version der verwendeten Container-Software. Selbst wenn noch die ältere SSH-Version auf dem "privaten SSH-Server" einer Instanz läuft, ist dieser nur zugänglich, wenn man sich bereits an unserem (bereits gepatchten) Gateway authentifiziert haben.

In Flownative Beach ist dieses Problem behoben. 🩹