Еще одна уязвимость в OpenSSH, позволяющая определить наличие пользователей

Спустя менее недели с момента обнаружения прошлой проблемы в OpenSSH, позволявшей определить существует ли пользователь с данным именем в системе, выявлена еще одна аналогичная уязвимость (CVE-2018-15919). Проблема присутствует с 2011 года и проявляется в том числе в несколько дней назад опубликованном выпуске OpenSSH 7.8.

Предложенный метод основан на различном поведении кода аутентификации на базе API GSS2 для существующих и не существующих пользователей. В частности, если пользователь не существует, то повторяющиеся попытки аутентификации приводят к обрыву соединения с возвратом ошибки "Too many authentication failures". Для существующих пользователей подобная ошибка не выводится.

Дополнительно можно отметить выявление возможности определения существования пользователя в SSH-сервере Dropbear, который часто применяется на встраиваемых устройствах и домашних маршрутизаторах. Выявленная в Dropbear уязвимость (CVE-2018-15599) повторяет прошлую проблему в OpenSSH (эксплоит для OpenSSH работает для Dropbear).