如何识别并修复AIX服务器上的TLS ROBOT漏洞

漏洞检测方法 #

TLS ROBOT漏洞是针对TLS握手中RSA密钥交换的Bleichenbacher攻击变体，仅作用于启用了RSA密钥交换密码套件的TLS服务，和SSH服务无关联，你查询的sshd_config属于SSH服务配置，和本次漏洞无关，无需调整SSH相关配置。你可按以下步骤完成检测：

• 先从漏洞扫描报告中提取标注的风险端口，明确存在漏洞的TLS服务入口
• 执行TLS密码套件枚举验证：使用命令openssl s_client -connect 服务器IP:风险端口 -cipher RSA，如果返回TLS握手成功结果，说明该服务确实启用了存在风险的RSA密钥交换套件
• 若AIX系统自带的openssl版本过低不支持上述参数，可通过同网段其他正常Linux主机执行上述命令完成验证

修复方案落地步骤 #

供应商给出的建议核心是：AIX没有全局统一的TLS配置入口，所有对外提供TLS服务的应用都需要单独调整配置，禁用RSA密钥交换类的密码套件，具体操作如下：

1. 定位风险端口对应的服务：执行命令netstat -anp | grep 风险端口号，获取对应服务的进程名、运行身份和配置文件路径
2. 按服务类型调整配置：
   • 若为Apache/Nginx等Web服务：在服务的TLS配置段删除所有带RSA前缀的密码套件，仅保留ECDHE开头的密钥交换套件，示例配置参考：SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256
   • 若为Weblogic/Tomcat等中间件服务：在对应TLS监听的密码套件配置列表中，移除所有RSA密钥交换相关的条目
   • 若为自研业务服务：联系业务开发人员调整服务依赖的TLS库配置，禁用RSA密钥交换功能
3. 配置修改完成后重启对应服务，重新执行此前的openssl检测命令验证，若返回握手失败结果即为修复生效

注意：调整密码套件前需先完成业务兼容性测试，避免老旧客户端不支持新的密钥交换方式导致业务访问异常。

内容的提问来源于stack exchange，提问作者Jagbir Singh