安全威脅監(jiān)控平臺Shadowserver最近的一份報告警告說，互聯(lián)網(wǎng)上有近1100萬臺SSH服務器（由唯一的IP地址標識），很容易受到水龜攻擊（TerrapinAttack），從而威脅到某些SSH連接的完整性。
“水龜攻擊”是德國波鴻魯爾大學安全研究人員開發(fā)的新攻擊技術，。利用了SSH傳輸層協(xié)議的弱點，并結合了OpenSSH十多年前引入的較新的加密算法和加密模式。后者已被廣泛的SSH實現(xiàn)所采用，因此影響當前的大多數(shù)SSH實例。
“水龜攻擊”會在握手過程中操縱序列值，損害SSH通道的完整性，特別是在使用ChaCha20-Poly1305或帶有Encrypt-then-MAC的CBC等特定加密模式時。與攻擊相關的三個漏洞的編號為：CVE-2023-48795、CVE-2023-46445和CVE-2023-46446。
攻擊者可降級用于用戶身份驗證的公鑰算法，并禁用OpenSSH9.5中針對擊鍵計時攻擊的防御。
“水龜攻擊”的一個重要前提是攻擊者需要處于中間人(MiTM)位置來攔截和修改握手交換。這意味著“水龜攻擊“的威脅并不是特別嚴重。在許多情況下，修補CVE-2023-48795可能不是優(yōu)先事項。
但值得注意的是，攻擊者經(jīng)常會先入侵目標網(wǎng)絡，并潛伏等待合適的時機實施水龜攻擊。
全球有上千萬臺SSH服務器存在漏洞
安全威脅監(jiān)控平臺Shadowserver的報告顯示，互聯(lián)網(wǎng)上有近1100萬臺暴露的SSH服務器很容易受到“水龜攻擊”，約占Shadoserver監(jiān)控的IPv4和IPv6空間中所有掃描樣本的52%。
大多數(shù)易受攻擊的系統(tǒng)位于美國（330萬個），其次是中國（130萬個）、德國（100萬個）、俄羅斯（70萬個）、新加坡（39萬個）和日本（38萬個）。
雖然并非所有1100萬個SSH服務器實例都面臨立即受到攻擊的風險，但這至少表明對手有大量可供選擇的目標實例。
波鴻魯爾大學團隊發(fā)布了一個“水龜攻擊“漏洞掃描器，可幫助用戶檢查SSH客戶端或服務器是否存在水龜攻擊漏洞。
