1400万台以上の「OpenSSH」サーバーに影響する脆弱性が見つかる

今回は「1400万台以上の「OpenSSH」サーバーに影響する脆弱性が見つかる」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 「SSH」鍵をしっかりと管理してほしい。「Linux」のセキュアなリモートアクセス基盤である「OpenSSH」に深刻な脆弱性が発見され、ベテランのシステム管理者が冷や汗をかく事態となっている。

 「regreSSHion」とも呼ばれるこの厄介な脆弱性「CVE-2024-6387」は、「glibc」ベースのLinuxシステムで動いているOpenSSHサーバーで、認証されていないリモートコード実行(RCE)を可能にする。しかも、ちょっとした特権昇格を可能にするのではなく、完全なルートアクセス権限をやすやすと取得できるようにするという。

 Linuxを長く使ってきた人にとっては、既視感を覚える状況だろう。この脆弱性は、2006年にパッチが適用された「CVE-2006-5051」のリグレッション(回帰)だ。このかつての敵がどういうわけか、2020年10月に「OpenSSH 8.5p1」のコードに再び侵入していた。

 だがありがたいことに、セキュリティベンダーQualysの脅威調査部門が、OpenSSHというクローゼットの中からこの亡霊のようなバグを見つけ出した。とはいえ、この脆弱性はデフォルト構成に影響を及ぼすため、悪用するのにユーザーの操作は必要ない。つまり、セキュリティ担当者を夜も眠れない状況に陥らせるというわけだ。

 この欠陥の潜在的な影響は、いくら強調してもしすぎることはない。OpenSSHは、Linuxや「macOS」といった「UNIX」系システムでセキュアなリモートアクセスやファイル転送を行うための、事実上の標準ソフトウェアだ。世界中のシステム管理者や開発者にとって、セキュアな通信を実現するための万能ナイフとなっている。

 幸いなのは、すべてのLinuxディストリビューションにこの脆弱なコードが含まれているわけではないことだ。「4.4p1」より前のバージョンのOpenSSHは、CVE-2006-5051と「CVE-2008-4109」向けのパッチが適用されている限り、シグナルハンドラーの競合状態を引き起こすこの脆弱性の影響は受けない。

 また、4.4p1以上で「8.5p1」より前のバージョンも、この脆弱性の影響を受けない。だが、8.5p1以上で「9.8p1」より前のバージョンでは、重要なコンポーネントが誤って削除されたため、この脆弱性の影響を受ける可能性が再び浮上している。

 Qualysは、潜在的に脆弱なOpenSSHサーバーのインターネットインスタンスを1400万台以上発見した。また、これらの外部インターネット接続インスタンスのうち、およそ70万台が確実に脆弱な状態だと、同社は分析している。

 なお、この脆弱性が修正された「OpenSSH 9.8/9.8p1」はすでに公開されており、すべてではないものの、多くのLinuxディストリビューションで利用できる。利用できる場合は、できるだけ早くインストールしよう。

 何らかの理由でインストールできない場合は、「sshd」設定ファイル(デフォルトでは、/etc/ssh/sshd_config内に存在)で「LoginGraceTime」を「0」に設定して、regreSSHionの脆弱性からサーバーを保護することを検討してほしい。ただし、この設定は完璧な解決策ではなく、悪用を阻止できるものの、システムがサービス拒否(DoS)攻撃に見舞われるリスクをもたらす。

 そのため、ネットワークベースの制御を利用してサーバーへのSSHアクセスを制限し、潜在的な攻撃ベクトルを制限しよう。この種の攻撃を仕掛けるには多くの労力が必要になるため、ファイアウォールやネットワーク監視ツールを設定して、この脆弱性の悪用に必要な大量の接続を検出し、ブロックする必要がある。

 最後に、OpenSSHのパッチがリリースされていないか常に確認しよう。まもなく公開されるはずだ。公開されたら、できるだけ早く適用してほしい。

 こうした対策を講じることで、regreSSHionのセキュリティホールを狙われる可能性を大きく減らせる。システム管理者は、対策しておいて正解だったと感じることになるだろう。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
LINE上でGoogle Play ギフトコードの購入が可能に LINEポイントで支払い可
ネットトピック
2021-06-26 15:18
「Amazon EC2」の「Mac」インスタンス、「macOS Big Sur」に対応
IT関連
2021-02-26 05:10
オープンソースソフトウェアの現状と課題–Open Source Initiative(OSI)調査
IT関連
2023-02-11 07:07
LegalOn Technologies、意思決定プロセスマネジメントシステムの名称を「DecideOn」に
IT関連
2023-07-19 03:03
東京都市大学、磁気ヘッドの誤差を減らしデータセンター用HDDを30%大容量化する技術を開発
IT関連
2022-02-25 14:05
セキュリティ脅威の検知と対応を高度化するMXDRを展開–セキュアワークス
IT関連
2022-06-08 06:39
ドラッグ&ドロップで自分だけのAIチャットボットを作れる「Botpress」
IT関連
2023-08-23 12:10
NRI、金融向け大規模基幹系システムの構築でローコード採用–期間を約3割短縮
IT関連
2023-07-06 03:46
DeepLearning.AIとOpenAI、AIのプロンプトエンジニアリング学習コースを無償提供
IT関連
2023-05-02 22:06
【コラム】ソーシャルメディアは科学と「根本的に対立」している可能性がある
IT関連
2022-02-12 23:29
プロジェクト管理ツール「Trello」が大幅刷新、新たなボードビューやカード機能を追加
ソフトウェア
2021-02-18 19:57
XRコンソーシアムがVR・AR・MR手がける会員企業対象の「XRコンソーシアム会員企業カオスマップ」公開
VR / AR / MR
2021-02-19 00:02
グーグル、「Chrome」のアップデートサイクルを4週間に短縮へ
IT関連
2021-03-08 11:50
【コラム】DAOに未来を任せられるか?今のところは無理だ
IT関連
2022-02-09 21:59