在ubuntu 14.04中升级openSSH 7.2p

Question

我有一台运行Ubuntu 14.04的服务器，但我对PCI的要求有问题。我已经在我的服务器中安装了OpenSSH 6.6p1，然后我将其升级到OpenSSH 7.2p，直接从OpenSSH的存储库中使用make和make install编译代码，但似乎有些问题，因为我在检查了dpkg-l OpenSSH后继续获得旧版本：

ii openssh-client 1:6.6p1-2ubunt amd64 secure shell (SSH) client, 
ii openssh-server 1:6.6p1-2ubunt amd64 secure shell (SSH) server,
ii openssh-sftp-serve 1:6.6p1-2ubunt amd64 secure shell (SSH) sftp server 

和PCI扫描仪继续报告相同的问题，我必须安装最新版本的OpenSSH。

这是问题的CVI ID：CVE-2016-3115

Answer 1

有两个答案已经提到了重新编译。如果您已经与ssh连接，他们建议的方式听起来可能不是一个安全的选择。他们也没有建议默认情况下如何处理OpenSSL 1.0.2 vs 1.1.0问题。/confiure在Ubuntu 14.04 LTS上找到OpenSSL的1.1.0版本。要修补OpenSSL 7.7源代码以使用OpenSSL 1.1.0，这里有一个补丁：

http://www.linuxfromscratch.org/blfs/view/svn/postlfs/openssh.html

wget http://mirror.exonetric.net/pub/OpenBSD/OpenSSH/portable/openssh-7.7p1.tar.gz
tar -zxvf openssh-7.7p1.tar.gz
cd openssh-7.7p1
wget http://www.linuxfromscratch.org/patches/blfs/svn/openssh-7.7p1-openssl-1.1.0-1.patch
patch -Np1 -i ./openssh-7.7p1-openssl-1.1.0-1.patch

诀窍来了：你可以有两个sshd，这样你就不会失去当前的连接。我们将另一个sshd安装到 /opt，它的配置将在 /opt/etc

./configure --prefix=/opt
make ## in the end make will write where it will install, double check everything will go to /opt
make install
nano /opt/etc/ssh/sshd_config

在这里编辑端口，将其从22移到例如1888（确保端口已转发/打开/etc）

现在你可以启动新的sshd了

/opt/sbin/sshd

确保在重新启动时（例如systemd）也会启动另一个ssh。

两个SSHD现在同时运行。你可以尝试连接这个新建的。完成后，您可以安全地从apt中删除缺少openssh6.6的过时安全更新，或者至少停止守护进程并从启动时删除守护进程。

你离安全系统又近了一步。

Answer 2

在Ubuntu 16.04上测试

将ssh客户端升级到最新版本。更新了很多其他东西！

sudo apt-add-repository 'deb http://old-releases.ubuntu.com/ubuntu yakkety main universe multiverse'
sudo apt-get update
sudo apt-get install openssh-server=1:7.4p1-10

删除添加的存储库，以便以后不会发生额外的更新：

sudo apt-add-repository --remove 'deb http://old-releases.ubuntu.com/ubuntu yakkety main'
sudo apt-get update

注：对于17.04，将yakety更改为zesty（未测试）

Answer 3

我还需要安装最新的OpenSSH，但我想通过软件包安装它，而不是从源代码处编译。

sudo apt-add-repository 'deb http://archive.ubuntu.com/ubuntu yakkety main universe multiverse'
sudo apt-get update
sudo apt-get install openssh-server=1:7.3p1-1

这对我有用。（从技术上讲，这里只需要main和universe）

$ ssh -V
OpenSSH_7.3p1 Ubuntu-1, OpenSSL 1.0.2g  1 Mar 2016

编辑（2017-10-04)：这个答案最近受到了一些关注，现在可能已经过时了。请记住，从这里只需要main和world，我特别想将其安装为一个包，而不是从源代码编译。请小心输入来自Internet的随机命令，无论陌生人（在这种情况下是我）有多善意！