Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

OpenSSH: Una RCE eseguita come Root mette a rischio 14 milioni di istanze su Linux

Sandro Sana : 1 Luglio 2024 16:47

Una recente vulnerabilità critica in OpenSSH, identificata come CVE-2024-6387, potrebbe permettere l’esecuzione di codice remoto non autenticato con privilegi root su sistemi Linux basati su glibc. Questa falla risiede nel componente server di OpenSSH (sshd) ed è dovuta a una race condition nel gestore dei segnali. La vulnerabilità è stata introdotta nuovamente in ottobre 2020 nella versione 8.5p1 di OpenSSH, risolvendo in parte un problema risalente a 18 anni fa (CVE-2006-5051).

Dettagli della Vulnerabilità

La vulnerabilità riguarda le versioni di OpenSSH tra 8.5p1 e 9.7p1. Essa consente agli attaccanti di eseguire codice arbitrario con privilegi elevati, compromettendo completamente il sistema. Questo problema è particolarmente rilevante in quanto ci sono circa 14 milioni di istanze di server OpenSSH potenzialmente vulnerabili esposte su internet.

Approfondimento sulla CVE-2024-6387

La vulnerabilità CVE-2024-6387 è una race condition nel gestore dei segnali di OpenSSH, presente nelle versioni 8.5p1-9.7p1. Una race condition si verifica quando l’esecuzione concorrente di processi o thread porta a risultati inattesi, in questo caso permettendo agli attaccanti di eseguire codice arbitrario con privilegi root senza autenticazione. Il problema è stato introdotto nel 2020 e ha riaperto una vecchia falla del 2006 (CVE-2006-5051).

Analisi Tecnica


Sponsorizza la prossima Red Hot Cyber Conference!

Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.

Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un paccheto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.

Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.



Supporta RHC attraverso:
L'acquisto del fumetto sul Cybersecurity Awareness
Ascoltando i nostri Podcast
Seguendo RHC su WhatsApp
Seguendo RHC su Telegram
Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab


Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.


La race condition sfrutta il modo in cui OpenSSH gestisce i segnali di processo, permettendo agli attaccanti di manipolare l’esecuzione del codice. Gli sviluppatori di OpenSSH hanno lavorato su patch per risolvere questo problema, rilasciando aggiornamenti critici. Gli amministratori di sistema devono applicare questi aggiornamenti immediatamente per proteggere i loro sistemi.

Metodi di Exploit Conosciuti

Gli attaccanti possono sfruttare la CVE-2024-6387 utilizzando specifici payload o exploit che manipolano la race condition nei segnali di processo. Tali metodi possono includere:

  1. Payload di Escalation dei Privilegi: Un attaccante potrebbe inviare segnali manipolati in modo tale da eseguire un codice con privilegi root.
  2. Script Automizzati: Gli exploit possono essere inclusi in script automizzati che eseguono comandi malevoli appena la race condition viene innescata.
  3. Strumenti di Penetration Testing: Tool come Metasploit potrebbero incorporare moduli specifici per sfruttare questa vulnerabilità, facilitando gli attacchi da parte di hacker meno esperti.

Implicazioni di Sicurezza

Questa vulnerabilità è particolarmente preoccupante a causa dell’ampia diffusione di OpenSSH e della gravità dell’impatto, che potrebbe portare alla completa compromissione dei sistemi affetti. I server esposti a internet sono particolarmente a rischio, e la comunità della sicurezza è chiamata a monitorare attentamente eventuali exploit in circolazione.

Dati da Shodan

Secondo una ricerca condotta utilizzando il portale Shodan, ci sono attualmente 6.689 host su internet con la porta 22 esposta e la versione vulnerabile di OpenSSH_9.7p1. La distribuzione di questi host è la seguente:

  • Stati Uniti: 1.625
  • Germania: 1.097
  • Francia: 441
  • Russia: 440
  • Paesi Bassi: 311
  • Cina: 241
  • Regno Unito: 235
  • Finlandia: 165
  • Hong Kong: 137
  • Giappone: 136
  • Canada: 135
  • Svezia: 126
  • Singapore: 112
  • Australia: 107
  • Brasile: 100
  • Svizzera: 98
  • Ungheria: 98
  • Polonia: 95
  • Italia: 85
  • India: 75
  • Spagna: 66
  • Romania: 65

Possibili Risvolti

Le implicazioni di sicurezza per i sistemi con la porta SSH aperta ed esposta al mondo sono significative:

  • Compromissione del Sistema: Gli attaccanti possono ottenere l’accesso root, permettendo loro di eseguire qualsiasi comando, installare malware o persino cancellare dati.
  • Botnet e Attacchi DDoS: I sistemi compromessi possono essere utilizzati per costruire botnet e lanciare attacchi distribuiti di negazione del servizio (DDoS).
  • Furto di Dati: Gli attaccanti possono accedere e rubare dati sensibili, compresi credenziali, informazioni finanziarie e dati personali.
  • Minaccia Persistente: Una volta compromesso, un sistema può essere utilizzato come punto di accesso persistente per ulteriori attacchi, sia all’interno della rete che verso altre reti.

Raccomandazioni per la Protezione

  1. Aggiornamenti Software: Assicurarsi di eseguire l’aggiornamento all’ultima versione di OpenSSH disponibile.
  2. Restrizioni di Accesso: Implementare regole firewall per limitare l’accesso non autorizzato ai server.
  3. Monitoraggio Continuo: Utilizzare sistemi di rilevamento delle intrusioni (IDS) per monitorare attività sospette.
  4. Controlli di Sicurezza: Effettuare regolari controlli di sicurezza e test di penetrazione per identificare e mitigare eventuali vulnerabilità.

La scoperta di questa vulnerabilità sottolinea l’importanza cruciale della sicurezza nel software open source e la necessità di una costante vigilanza e manutenzione. Incidenti come questo dimostrano come le vulnerabilità vecchie possono ripresentarsi, richiedendo un’attenzione continua da parte degli sviluppatori e degli amministratori di sistema.

Sandro Sana
Membro del gruppo di Red Hot Cyber Dark Lab e direttore del Red Hot Cyber PodCast. Si occupa d'Information Technology dal 1990 e di Cybersecurity dal 2014 (CEH - CIH - CISSP - CSIRT Manager - CTI Expert), relatore a SMAU 2017 e SMAU 2018, docente SMAU Academy & ITS, membro ISACA. Fa parte del Comitato Scientifico del Competence Center nazionale Cyber 4.0, dove contribuisce all’indirizzo strategico delle attività di ricerca, formazione e innovazione nella cybersecurity.

Lista degli articoli
Visita il sito web dell'autore

Articoli in evidenza

38 milioni di Numeri di telefono di Italiani in vendita nel Dark Web. E’ che Smishing Sia!
Di Redazione RHC - 06/09/2025

Sette italiani su dieci hanno il proprio numero di telefono incluso in questa banca dati. Ma cosa significa attualmente disporre di un tale quantitativo di numeri telefonici concentrati all’interno ...

Se Flash è morto, ecco a voi l’SVG Assassino! Il phishing 2.0 è in alta definizione
Di Redazione RHC - 05/09/2025

I criminali informatici hanno lanciato una nuova ondata di attacchi che utilizzano file SVG per distribuire pagine di phishing. Gli esperti di VirusTotal hanno segnalato che gli aggressori si spaccian...

Supercomputer: l’Italia al sesto e decimo posto nella classifica TOP500 del 2025
Di Redazione RHC - 05/09/2025

Il mondo dei supercomputer è entrato nell’era dell’exascale computing. La classifica TOP500 di giugno per il 2025 ha registrato tre sistemi americani ai vertici, un debutto clamoroso dall’Europ...

16 miliardi di credenziali rubate da Apple, Meta e Google in vendita per 121.000 dollari
Di Redazione RHC - 05/09/2025

Il team di Darklab, la community di esperti di threat intelligence di Red Hot Cyber, ha individuato un annuncio sul marketplace del dark web “Tor Amazon”, l’analogo criminale del celebre e-comme...

Dal Commodore 64 a GitHub! Il BASIC di Gates e Allen diventa open source dopo 48 anni
Di Redazione RHC - 04/09/2025

Microsoft ha ufficialmente reso pubblico il codice sorgente della sua prima versione di BASIC per il processore MOS 6502, che per decenni è esistito solo sotto forma di fughe di notizie, copie da mus...