Bulletins de sécurité

La section suivante décrit tous les bulletins de sécurité liés à Migrate to Virtual Machines 5.0 par Google.

Pour recevoir les derniers bulletins de sécurité, effectuez l'une des opérations suivantes :

  • Ajoutez l'URL de cette page à votre lecteur de flux.
  • Ajoutez directement l'URL du flux à votre lecteur de flux : https://cloud.google.com/migrate-to-virtual-machines-security-bulletins.xml.

GCP-2024-040

Publié : 2024-07-10
Description Gravité Remarques

Le Migrate Connector, l'appliance virtuelle utilisée pour connecter les sources VMware à Migrate to Virtual Machines, est exposé à une faille de sécurité sur le daemon OpenSSH(SSHD) (CVE-2024-6387).

Que dois-je faire ?

La version 2.6.2497 du connecteur de migration a été publiée pour atténuer ce problème et est en cours de déploiement. Pour l'appliquer, accédez à la page Migrate to Virtual Machines (Migrater vers des machines virtuelles) dans la console Google Cloud . Une fois qu'une mise à jour est disponible pour votre appareil source, une bannière s'affiche avec le message Une mise à jour est disponible pour votre source. Approuvez la mise à jour pour lancer la mise à jour de version sur le connecteur Migrate. Pour en savoir plus, consultez Modifier la configuration d'un connecteur Migrate.

Pour limiter le risque immédiatement, utilisez l'une des options suivantes :

  1. Connectez-vous au connecteur Migrate et exécutez la commande suivante: 
    sudo sed -i 's/#LoginGraceTime 2m/LoginGraceTime 0/g' /etc/ssh/sshd_config
     ou

    Modifiez /etc/ssh/sshd_config manuellement, annulez la mise en commentaire de l'entrée pour LoginGraceTime et définissez sa valeur sur 0.
  2. Redémarrez SSHD en exécutant la commande suivante: 
    sudo systemctl restart ssh

Quelles failles sont corrigées ?

Une faille d'exécution de code à distance, CVE-2024-6387, a été récemment découverte dans OpenSSH. La faille exploite une condition de concurrence permettant d'accéder à une interface système distante, ce qui permet aux pirates informatiques d'obtenir un accès racine. Au moment de la publication, l'exploitation est considérée comme difficile et prend plusieurs heures par machine attaquée. Nous n'avons connaissance d'aucune tentative d'exploitation.

 Critique CVE-2024-6387