米CERT/CCや米Internet Security Systems（ISS）などは米国時間6月26日，フリーのSSH（Secure Shell）ソフト・パッケージ「OpenSSH」にセキュリティ・ホールがあることを明らかにした。
影響を受けるのは，バージョン 2.3.1 から 3.3。セキュリティ・ホールを悪用されると，OpenSSHのサーバー・プログラム（sshd）を動作させているマシン上で，リモートから任意のプログラムを実行される恐れがある。プログラムはsshdの権限（通常はroot権限）で実行される。
自分でOpenSSHをインストールした覚えがなくても，多数のOSにバンドルされているので注意が必要である。LinuxやFreeBSD，MacOS X，IBM AIX，Sun Solaris 9（「SunSSH」という名称でバンドルされている）などにバンドルされている（詳細はOpenSSHのサイトを参照）。
対策はバージョン3.4にアップグレードすること。OpenSSHのサイトで公開されている。併せて，ソース・コードのパッチも同サイトから入手できる。
CERT/CCによれば，今回のセキュリティ・ホールを悪用可能なコードが既に存在するという。管理者は早急に対策を施す必要がある。
一時的には設定変更でも回避できる。具体的には，sshdの設定ファイルである「sshd_config」を変更して，今回のセキュリティ・ホールの原因であるチャレンジ・レスポンス認証やPAM認証などを無効にする。設定変更の手順については，CERT/CCの情報などを参考にしてほしい。
◎参考文献
◆OpenSSH Vulnerabilities in Challenge Response Handling（英語情報，米CERT/CC）
◆OpenSSH Remote Challenge Vulnerability（英語情報，米ISS）
◆Revised OpenSSH Security Advisory（OpenSSH.com）
