一、背景介绍
近日，市委网信办技术支撑单位监测发现OpenSSH官方发布了安全更新，修复了OpenSSH 中的未授权远程代码执行漏洞(CVE-2023-25136)。此漏洞影响范围广泛，目前官方发布安全版本，建议受影响的用户尽快采取安全措施。
1.1 漏洞描述
OpenSSH是一种用于安全通信和远程访问的流行工具。它是作为Secure Shell (SSH)通信协议的免费开源实现而开发的，广泛用于各种应用程序。
OpenSSH服务在针putty老版本等客户端连接时做了兼容处理，导致compat_kex_proposal函数在options.kex_algorithms处理时存在双重释放漏洞。未经身份验证的攻击者可以触发双重释放，从而在远程服务器上执行任意代码。
1.2 漏洞编号
CVE-2023-25136
1.3漏洞等级
高危
二、修复建议
2.1 受影响版本
OpenSSH server=9.1
2.2 修复建议
目前官方已发布安全版本修复上述漏洞，建议受影响的用户升级至安全版本（OpenSSH server>=9.2 ）
下载地址：https://ftp.openbsd.org/pub/OpenBSD/patches/7.2/common/017_sshd.patch.sig