OpenSSH セキュリティアップデート CVE-2024-6387 対応

2024/7/4現在

1. 背景

2024 年 7 月 1 日、OpenSSH において重大なセキュリティ脆弱性（CVE-2024-6387）が発見されました。この脆弱性は、OpenSSH 8.5p1 以降のバージョンに影響を与え、認証されていないリモート攻撃者が特定の条件下でシステムにアクセスできる可能性があります。

この脆弱性は、2006 年に修正された類似の問題（CVE-2006-5051）の再発です。攻撃者は、設定された時間内に認証に失敗することで、この脆弱性を悪用する可能性があります。

OpenSSH 自体使っていなければ必要無いと思います

SSH サービスの再起動:

sudo launchctl unload /System/Library/LaunchDaemons/ssh.plist
sudo launchctl load -w /System/Library/LaunchDaemons/ssh.plist

システム更新:

sudo apt update
sudo apt upgrade openssh-server

システム更新:

sudo apt update
sudo apt upgrade openssh-server

このガイドを参考に、速やかにシステムのセキュリティアップデートを実施してください。セキュリティは継続的なプロセスであり、常に最新の脅威に対して警戒を怠らないようにしましょう。

LoginGraceTime は SSH サーバー（sshd）の設定パラメータの一つで、ユーザーがログインを完了するまでの制限時間を指定します。

LoginGraceTime [時間]

LoginGraceTime 0 と設定すると：

脆弱性の回避：
- CVE-2024-6387 は、ログイン処理中の特定のタイミングで発生する可能性があります。
- 制限時間をなくすことで、この脆弱性が悪用される可能性を減らします。
セキュリティとの関係：
- 通常、短いログイン制限時間はセキュリティ上好ましいとされます。
- しかし、この特定の脆弱性に対しては、制限時間をなくすことが防御策となります。

DoS（サービス拒否）攻撃のリスク：
- この設定により、悪意のある接続が長時間維持される可能性が増加します。
- サーバーリソースの消費につながる可能性があります。
代替設定：
- 完全に 0 にせず、非常に長い時間（例：3600 秒 = 1 時間）を設定することも考えられます。
一時的な対策：
- この設定は CVE-2024-6387 に対する一時的な対策であり、恒久的な解決策ではありません。
他のセキュリティ対策との併用：
- ファイアウォール設定、接続制限、強力な認証方法など、他のセキュリティ対策と組み合わせて使用することが重要です。

この設定は、CVE-2024-6387 に対する一時的な対策として推奨されていますが、環境やセキュリティ要件に応じて慎重に適用する必要があります。

以下のような更に専門性を持った記事をご参照ください