1400万台以上の「OpenSSH」サーバーに影響する脆弱性が見つかる

今回は「1400万台以上の「OpenSSH」サーバーに影響する脆弱性が見つかる」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 「SSH」鍵をしっかりと管理してほしい。「Linux」のセキュアなリモートアクセス基盤である「OpenSSH」に深刻な脆弱性が発見され、ベテランのシステム管理者が冷や汗をかく事態となっている。

 「regreSSHion」とも呼ばれるこの厄介な脆弱性「CVE-2024-6387」は、「glibc」ベースのLinuxシステムで動いているOpenSSHサーバーで、認証されていないリモートコード実行(RCE)を可能にする。しかも、ちょっとした特権昇格を可能にするのではなく、完全なルートアクセス権限をやすやすと取得できるようにするという。

 Linuxを長く使ってきた人にとっては、既視感を覚える状況だろう。この脆弱性は、2006年にパッチが適用された「CVE-2006-5051」のリグレッション(回帰)だ。このかつての敵がどういうわけか、2020年10月に「OpenSSH 8.5p1」のコードに再び侵入していた。

 だがありがたいことに、セキュリティベンダーQualysの脅威調査部門が、OpenSSHというクローゼットの中からこの亡霊のようなバグを見つけ出した。とはいえ、この脆弱性はデフォルト構成に影響を及ぼすため、悪用するのにユーザーの操作は必要ない。つまり、セキュリティ担当者を夜も眠れない状況に陥らせるというわけだ。

 この欠陥の潜在的な影響は、いくら強調してもしすぎることはない。OpenSSHは、Linuxや「macOS」といった「UNIX」系システムでセキュアなリモートアクセスやファイル転送を行うための、事実上の標準ソフトウェアだ。世界中のシステム管理者や開発者にとって、セキュアな通信を実現するための万能ナイフとなっている。

 幸いなのは、すべてのLinuxディストリビューションにこの脆弱なコードが含まれているわけではないことだ。「4.4p1」より前のバージョンのOpenSSHは、CVE-2006-5051と「CVE-2008-4109」向けのパッチが適用されている限り、シグナルハンドラーの競合状態を引き起こすこの脆弱性の影響は受けない。

 また、4.4p1以上で「8.5p1」より前のバージョンも、この脆弱性の影響を受けない。だが、8.5p1以上で「9.8p1」より前のバージョンでは、重要なコンポーネントが誤って削除されたため、この脆弱性の影響を受ける可能性が再び浮上している。

 Qualysは、潜在的に脆弱なOpenSSHサーバーのインターネットインスタンスを1400万台以上発見した。また、これらの外部インターネット接続インスタンスのうち、およそ70万台が確実に脆弱な状態だと、同社は分析している。

 なお、この脆弱性が修正された「OpenSSH 9.8/9.8p1」はすでに公開されており、すべてではないものの、多くのLinuxディストリビューションで利用できる。利用できる場合は、できるだけ早くインストールしよう。

 何らかの理由でインストールできない場合は、「sshd」設定ファイル(デフォルトでは、/etc/ssh/sshd_config内に存在)で「LoginGraceTime」を「0」に設定して、regreSSHionの脆弱性からサーバーを保護することを検討してほしい。ただし、この設定は完璧な解決策ではなく、悪用を阻止できるものの、システムがサービス拒否(DoS)攻撃に見舞われるリスクをもたらす。

 そのため、ネットワークベースの制御を利用してサーバーへのSSHアクセスを制限し、潜在的な攻撃ベクトルを制限しよう。この種の攻撃を仕掛けるには多くの労力が必要になるため、ファイアウォールやネットワーク監視ツールを設定して、この脆弱性の悪用に必要な大量の接続を検出し、ブロックする必要がある。

 最後に、OpenSSHのパッチがリリースされていないか常に確認しよう。まもなく公開されるはずだ。公開されたら、できるだけ早く適用してほしい。

 こうした対策を講じることで、regreSSHionのセキュリティホールを狙われる可能性を大きく減らせる。システム管理者は、対策しておいて正解だったと感じることになるだろう。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
OSSに潜むセキュリティやライセンス上の問題があらゆる業界にまん延—シノプシス
IT関連
2021-05-26 03:27
「父が“反韓系YouTuber”にハマった」 息子の苦悩と打開策 (1/2 ページ)
くわしく
2021-04-28 09:14
エッジの利用シーンを広げる–基盤を開発者に開放するアカマイ
IT関連
2021-06-22 02:13
破綻したシリコンバレー銀行、米地方銀行が買収へ
IT関連
2023-03-29 15:09
多様な現場で活躍する、パナソニック コネクトの顔認証技術
IT関連
2023-07-05 13:52
Suicaでビルの入退館 ゲートにかざすと受付完了 JR東など実験
クラウドユーザー
2021-01-26 00:18
「Linux」デスクトップに「Android」を接続するには–「KDE Connect」を使った手順
IT関連
2022-08-13 19:28
宮城県、インフラ異常を通報するミニアプリを実証実験
IT関連
2023-11-29 13:07
埼玉工業大、スマートファクトリー対応技術者を育成する新施設
IT関連
2022-05-20 16:51
大手SIer9社、成長率が24年度に3%の減速へ
IT関連
2024-06-04 20:06
テレワークで広がる「ワーケーション」 地方再生の“切り札”なるか
IT関連
2021-05-27 22:16
いつ来る、日経平均のピーク–米景気の過熱しすぎに要警戒
IT関連
2021-06-02 12:52
カット野菜もシャキシャキ AIが仕切るスマート農業
IT関連
2021-05-21 13:49
Microsoft、“次世代Windows”発表イベントを6月25日午前0時開催
アプリ・Web
2021-06-04 12:45