Parece que un proveedor de servicios no le dará detalles del producto / servicio que está comprando. Eso es como un contratista que no te dice qué madera está usando para construir una casa. Le recordaría a su proveedor de servicios que "seguridad por oscuridad" no ayudará a un atacante remoto a partir de la idea de nuestro o simplemente lanzar ataques contra todas las versiones de SSH.
Debería verificar si tiene un "derecho de auditoría" en su contrato de servicio, ya que eso podría otorgarle el derecho a conocer esta información (siempre intente obtener dicho lenguaje en sus contratos de proveedor de servicios)
¿Tiene acceso a la línea de comandos / shell? Si lo hace, podría intentar verificar la versión usted mismo.
En términos de que los evaluadores de bolígrafos obtengan la versión incorrecta, es completamente posible. Dependiendo de los controles que ejecutaron (probablemente automatizados a través de un escáner de vulnerabilidades), ciertas características pueden no dar una coincidencia del 100%. También es posible configurar / compilar sus aplicaciones para mentir acerca de sus versiones, cambiar banners , o para algún proxy intermedio o equilibrador de carga para cambiar esta información.
Sin embargo, suena como una señal de advertencia del proveedor de servicios de que no divulgarán esta información. Es posible que desee hacerles saber lo importante que es la seguridad para su organización y que la falta de garantías de seguridad suficientes podría llevar a que su negocio se vaya a otra parte.