はじめに
昨日、OpenSSHの開発元より、深刻な脆弱性(CVE-2024-6387)が確認されたとして脆弱性の修正を行ったバージョン(OpenSSH 9.8p1)と共に情報が公開されました。
発出されたセキュリティ情報によると、規定設定のsshd環境において、リモートコード実行(RCE)の危険性があるとされています。
この記事では、当該脆弱性の詳細と、対策について書いていきます。
脆弱性の詳細
CVE-2024-6387は、OpenSSHサーバー(sshd)に存在する脆弱性(およびエクスプロイト)あり、シグナルハンドラの競合状態に起因します。
glibcベースのLinux環境かつOpenSSHが規定設定で起動している場合に影響を受け、攻撃者はシステム上で任意のコードをroot権限で実行することができます。
ちなみに、この脆弱性が回帰バグ起因のものであることから、regreSSHionと呼称されていたりします。
影響
この脆弱性は、OpenSSH 4.4p1以前、あるいは8.5p1 ‐ 9.8p1以前のバージョンの環境で影響をウケる可能性があります。
また、OpenSSH 4.4p1以前のバージョンの場合に限っては、CVE-2006-5051、CVE-2008-4109に対する修正パッチが適用されている場合は影響を受けないようです。
加えて、OpenBSDにおいては独自の修正が入っているようで、影響を受けません。
この脆弱性を発見したQualys氏による分析では、公開ホストのうち、3割程度、約70万件のホストが脆弱な状態にあると推定されているようです。
また、OpenSSHの開発チームによる実証実験によると、CVE-2024-6387による悪用が可能になるまで平均で6-8時間の連続した接続が必要だったとのことです。
これは、前述の通りCVE-2024-6387がシグナルハンドラの競合状態に起因しているためで、Qualysも「実際に任意のコマンドを実行するには何度か繰り返しの試行が必要で、この脆弱性を悪用するのは困難だ」と言われています。
対策について
既にパッチ適用バージョンが公開されているので、可能な限り最新のものへ更新しましょう。
どうしても更新ができない環境である場合は、LoginGraceTimeを0とし、タイムアウトを無効化することで影響を受けるリスクが軽減されるかと思います。
ネットワークレベルでのアクセス制限の見直しや、セグメンテーションも有用な手段といえます。
さいごに
今回触れたCVE-2024-6387に限らず、脆弱性への対策はシステムの運用者にとって重要な責務であり、継続的な取り組みが必要です。
ここで重要なことは、単に更新・対策をして完了するものではありません。
常にあたらしい情報を追いかけ、適切な対策を講じ続けることを心掛けなければなりません。
この記事が誰かのお役に立てれば幸いです。