米CERT/CCOpenBSD Projectなどは米国時間9月16日,フリーのSSH(Secure Shell)ソフト・パッケージ「OpenSSH」にセキュリティ・ホールがあることを明らかにした。影響を受けるのは,バージョン3.7.1よりも古いすべてのバージョン。OpenSSHに含まれるOpenSSH daemon(sshd)に,サイズが大きなパケットを送信されると,sshdを停止させられる恐れがある。任意のコードを実行させられる可能性もあるという。対策は最新版3.7.1にバージョンアップすることなど。

【9月18日追記,おわびと訂正】
 セキュリティ・ホールが修正された最新版のバージョンを「2.7.1」としておりました。正しくは「3.7.1」です。訂正しておわびいたします。
【以上,おわびと訂正】

【9月18日追記】
 ネットワーク機器の中にも,今回のセキュリティ・ホールの影響を受けるものがある。例えば,米Cisco Systemsの「Catalyst Switches」シリーズなどが影響を受ける(Cisco Systemsの情報)。CERT/CC の情報によれば,米Network ApplianceのNetCacheなども影響を受ける。
【以上,9月18日追記】

 OpenSSHは,OpenBSD Projectによって開発および保守されている,SSHプロトコルを実装したソフトウエア・パッケージである。OpenSSH は,セキュアなリモート・ログインを実現するためのソリューションとして,多くのUNIXやLinux,OpenBSD,FreeBSDなどのシステムで使われている。

 今回見つかったセキュリティ・ホールを悪用すれば,リモートからSSHサーバーのサービスを停止させることができる。つまり,DoS(サービス妨害)攻撃が可能である。SSHサーバー上で任意のコードを実行できる可能性もある。ただし,米Internet Security Systems(ISS)の情報では,任意のコードが実行できるかどうかは未確認であるとしている。また,このセキュリティ・ホールを悪用可能なコード(Exploit)が出回っているという未確認情報があるという。

 OpenBSD Projectの情報では,このセキュリティ・ホールを悪用してコードを実行可能(Exploitable)かどうかは未確認ではあるが,セキュリティ・ホールをふさぐよう勧めている。

 対策は,最新版のバージョン3.7.1にアップグレードすること。OpenSSHのWebページからダウンロードできる。バージョン3.6.1以前に適用可能な,ソース・コードのパッチも公開されている

 OSベンダーのいくつかは,今回のセキュリティ・ホールに関する情報やセキュリティ・ホールを修正するためのアップグレード・パッケージなどを提供している。それぞれのベンダーのWebサイトなどで確認してほしい。Webサイトに情報がない場合でも,セキュリティ関連メーリング・リスト「Bugtraq」へベンダーから情報が投稿されている場合がある。Bugtraqのアーカイブ(過去の投稿)も確認しておこう。

 また,OpenSSHに限らず,OpenSSHをベースにしているソフトウエアも今回のセキュリティ・ホールの影響を受ける。OpenSSH以外のSSHソフトウエアを使っている場合でも,ベンダーのWebサイトなどで,念のために確認しておきたい。

◎参考資料
CERT Advisory CA-2003-24 Buffer Management Vulnerability in OpenSSH(CERT/CC)
Subject: OpenSSH Security Advisory: buffer.adv(OpenBSD Project)
OpenSSH Memory Corruption Vulnerability(ISS)
OpenSSH buffer management error(FreeBSD)

(勝村 幸博=IT Pro)