「OpenSSH」サーバにリモートコード実行の脆弱性、「OpenSSH 9.8p1」で修正：重大な脆弱性だが、悪用は困難

セキュリティベンダーのQualysは、glibcベースのLinuxシステム上の「OpenSSH」サーバ（sshd）に影響する重大な脆弱性（CVE-2024-6387）を発見した。この脆弱性が悪用されると、リモートから認証なしで、root権限で任意のコードを実行される恐れがある。

[＠IT]

　セキュリティベンダーのQualysは2024年7月1日（米国時間、以下同）、glibcベースのLinuxシステム上の「OpenSSH」サーバ（sshd）に影響する重大な脆弱（ぜいじゃく）性（CVE-2024-6387）が見つかったと発表した。この脆弱性が悪用されると、リモートから認証なしで、root権限で任意のコードを実行される恐れがある。

　この脆弱性は、OpenSSHサーバ（sshd）のシグナルハンドラの競合状態で発生する。この競合状態は、デフォルト設定のsshdに影響する。Qualysはこの脆弱性が、2006年に報告され、修正パッチが公開済みの脆弱性（CVE-2006-5051）のリグレッション（※）であることを確認した。このことから、同社はこの脆弱性を「regreSSHionの脆弱性」と呼んでいる。

※修正された欠陥が、その後のソフトウェアリリースで再発したことを指す

　このリグレッションの原因となったのは、2020年10月にリリースされた「OpenSSH 8.5p1」だ。

　Qualysは、regreSSHionの脆弱性の実用的なエクスプロイト（実証コード）を開発し、この脆弱性に関する情報公開プロセスの一環として、OpenSSHチームにエクスプロイトのデモを共有し、問題の理解と修復作業に協力した。パッチの適用までの時間を確保するため、エクスプロイトは非公開としている。

　OpenSSHチームは7月1日、この脆弱性を修正した「OpenSSH 9.8p1」をリリースしている。一方、Qualysがオンラインデバイス検索ツールの「Censys」と「Shodan」を使って調査したところ、インターネットに公開されている潜在的に脆弱なOpenSSHサーバインスタンスは、1400万件以上あった。

影響を受けるOpenSSHのバージョン

　OpenSSHの以下のバージョンがregreSSHionの脆弱性の影響を受ける。

• 4.4p1より前のバージョンのOpenSSH（CVE-2006-5051とCVE-2008-4109のパッチを適用していない場合）
• OpenSSH 8.5p1から、9.8p1より前までのバージョン

　なお、OpenBSDシステムはこの脆弱性の影響を受けない。これはOpenBSDでは2001年に、この脆弱性を防ぐ安全なメカニズムが開発されたからだ。

regreSSHionの潜在的な影響

　regreSSHionの脆弱性が悪用された場合、システムが完全に侵害される可能性がある。攻撃者が最高権限で任意のコードを実行し、システムの完全な乗っ取り、マルウェアのインストール、データ操作、永続的なアクセスのためのバックドアを作成する恐れがある。侵害したシステムを足掛かりに、組織内の他の脆弱なシステムを悪用することも考えられる。

　攻撃者はrootアクセス権限を獲得することで、重要なセキュリティメカニズム（ファイアウォール、侵入検知システム、ロギングメカニズムなど）を回避し、行動を隠せるようになる。これも重大なデータ侵害や漏えいにつながる可能性がある。

　一方、Qualysは、この脆弱性を悪用した攻撃は難しいとの見解を示している。攻撃を成功させるには、多数の試行が必要だからだ。OpenSSH 9.8p1のリリースノートによると、ラボ環境では、平均6〜8時間の連続接続が必要なことが確認されている。

　ただし、Qualysは、ディープラーニングの進歩により、攻撃が成功する可能性が大幅に上がるかもしれないと警告している。

　Qualysは、regreSSHionの脆弱性の影響を受けるバージョンのOpenSSHを使用するユーザーに、この脆弱性が修正されたOpenSSH 9.8p1に早急にアップグレードすることを推奨している。

regreSSHionの脆弱性に関するFAQ

　Qualysは、regreSSHionの脆弱性について解説したブログ記事で、FAQを紹介している。その一部を以下に示す。

この脆弱性の緩和策はあるのか？

　sshdを早急にアップデートまたは再コンパイルできない場合は、設定ファイルで「LoginGraceTime」を「0」に設定する。ただし、これによってリモートコード実行のリスクは防げるが、sshdをサービス妨害の危険にさらすことになる。

この脆弱性はmacOSやWindowsにも影響するのか？

　この脆弱性はmacOSとWindowsにも存在する可能性があるが、これらのプラットフォームでの悪用可能性はまだ不明だ。

この脆弱性を悪用しようとする試みは、どのように特定できるのか？

　ログに「Timeout before authentication」が何行にもわたって表示されている場合、悪用が試みられていると判断できる。