安全威脅監控平臺Shadowserver最近的一份報告警告說，互聯網上有近1100萬臺SSH服務器（由唯一的IP地址標識），很容易受到水龜攻擊（TerrapinAttack），從而威脅到某些SSH連接的完整性。

“水龜攻擊”是德國波鴻魯爾大學安全研究人員開發的新攻擊技術，。利用了SSH傳輸層協議的弱點，并結合了OpenSSH十多年前引入的較新的加密算法和加密模式。后者已被廣泛的SSH實現所采用，因此影響當前的大多數SSH實例。

“水龜攻擊”會在握手過程中操縱序列值，損害SSH通道的完整性，特別是在使用ChaCha20-Poly1305或帶有Encrypt-then-MAC的CBC等特定加密模式時。與攻擊相關的三個漏洞的編號為：CVE-2023-48795、CVE-2023-46445和CVE-2023-46446。

攻擊者可降級用于用戶身份驗證的公鑰算法，并禁用OpenSSH9.5中針對擊鍵計時攻擊的防御。

“水龜攻擊”的一個重要前提是攻擊者需要處于中間人(MiTM)位置來攔截和修改握手交換。這意味著“水龜攻擊“的威脅并不是特別嚴重。在許多情況下，修補CVE-2023-48795可能不是優先事項。

但值得注意的是，攻擊者經常會先入侵目標網絡，并潛伏等待合適的時機實施水龜攻擊。

全球有上千萬臺SSH服務器存在漏洞

安全威脅監控平臺Shadowserver的報告顯示，互聯網上有近1100萬臺暴露的SSH服務器很容易受到“水龜攻擊”，約占Shadoserver監控的IPv4和IPv6空間中所有掃描樣本的52%。

大多數易受攻擊的系統位于美國（330萬個），其次是中國（130萬個）、德國（100萬個）、俄羅斯（70萬個）、新加坡（39萬個）和日本（38萬個）。

雖然并非所有1100萬個SSH服務器實例都面臨立即受到攻擊的風險，但這至少表明對手有大量可供選擇的目標實例。

波鴻魯爾大學團隊發布了一個“水龜攻擊“漏洞掃描器，可幫助用戶檢查SSH客戶端或服務器是否存在水龜攻擊漏洞。