马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。
您需要 登录 才可以下载或查看，没有账号？立即注册
×
OpenSSH 服务器（sshd）出过一类远程代码执行漏洞，成因是信号处理流程存在竞争条件——未经身份验证的攻击者可以利用它在 Linux 系统上以 root 身份执行任意代码。openEuler 社区也发过公告，影响范围是 8.5p1 ≤ OpenSSH < 9.8p1。本文以 openEuler 22.03 LTS 为例，走一遍防守视角的复验与升级流程。
先说清楚边界：只讲自查与升级
本文只做两件事：确认自己的机器在不在影响范围内，以及把版本升上去。不涉及任何漏洞利用方法，也不提供 POC 代码——防守侧的正确姿势是自查版本、尽快升级，而不是复现攻击。
第一步：核对当前版本
判断是否在影响范围，一条命令就够，不需要任何攻击手段：
ssh -V
rpm -qa | grep openssh
把输出的版本号和公告里的区间对照：
8.5p1 及以上、但低于 9.8p1 → 在影响范围内，需要升级；- 已经 ≥
9.8p1 → 不受影响，无需处理。
这一步要在升级前做，留个记录，事后好说明"当时确实踩在范围内"。
第二步：获取并上传官方升级包
从 openEuler 官方仓库或镜像站下载 9.8p1 对应的 RPM 包，一般要这三个：
openssh-9.8p1-1.x86_64.rpm
openssh-clients-9.8p1-1.x86_64.rpm
openssh-server-9.8p1-1.x86_64.rpm
传到服务器上（scp 或内网文件传输均可），先放到 /root 下别急着覆盖，升级出问题还能回滚。
第三步：执行升级
rpm -Uvh --nodeps openssh-9.8p1-1.x86_64.rpm openssh-clients-9.8p1-1.x86_64.rpm openssh-server-9.8p1-1.x86_64.rpm
装完再核一次版本：
ssh -V
输出 OpenSSH_9.8p1 就说明到位了。--nodeps 在这里是为了跳过依赖检查强升，代价是依赖问题被压后了，所以升级后建议 rpm -V openssh-server 之类再看一眼完整性。
第四步：重启 ssh 服务
systemctl restart sshd.service
# 或者
service sshd restart
重启完务必另开一个终端验证，确认能正常连上再关掉原来的会话——sshd 起不来就彻底失去远程通道，这是升级里风险最高的一步。
systemctl status sshd.service
第五步：升级后常见的报错与处理
重启后如果 sshd -t 报配置错误，基本都是老版本 sshd_config 里残留了新版本已废弃的选项。典型三条：
| 报错信息 | 原因 | 处理 |
|---|
| Deprecated option RSAAuthentication | RSA 认证方式在新版本已废弃 | 从 /etc/ssh/sshd_config 删掉该行 |
| Deprecated option RhostsRSAAuthentication | 同样已废弃 | 删除该行 |
| Bad configuration option: GSSAPIKeyExchangeAlgorithms | 配置文件里有新版不认识的 GSSAPI 选项 | 删掉或注释掉 |
定位到 /etc/ssh/sshd_config 里对应行（报错里一般会带行号，如第 142 行）删除或注释，再重启一次 sshd 即可。用 sshd -t 做语法自检，不报错才算干净。
生产环境的几点建议
- 先备份再动手：
/etc/ssh/sshd_config 和 rpm 包都留一份。
- 窗口内操作：升级 + 重启 sshd 期间远程连接会断，挑业务低峰。
- 保留一条备用通道：比如串口 / 云厂商的 VNC 控制台，避免 sshd 起不来又连不进去只能进机房。
- 别用
--nodeps 了事：跳过依赖检查强升容易造成后续包管理混乱，升完跑一遍 rpm -qa | grep openssh 确认状态正常。
- 及时收安全公告：这类漏洞影响面大但修复就是升版本，把官方公告订阅挂上比事后救火轻松。
总结起来就四步：核对版本 → 上传官方包 → rpm -Uvh → 重启 sshd，遇到配置报错就清掉废弃选项。升级前先留后路，升级后先验证再断旧连接。
qidao123.com企服评测-应用市场 编辑提示
本文由齐道123 IT 运维社区整理，仅从防守与运维视角说明 OpenSSH 影响版本的自查与升级步骤，不含任何漏洞利用方法与第三方链接。操作仅限自有或已获授权主机，升级 sshd 会导致远程连接中断，请在业务低峰窗口执行并保留串口或控制台等备用通道；升级前请备份 sshd_config 与相关 RPM 包，升级后务必验证新会话可正常建立。
| 
发表于 2026-10-6 10:26:20