米CERT/CCやOpenBSD Projectなどは米国時間9月16日,フリーのSSH(Secure Shell)ソフト・パッケージ「OpenSSH」にセキュリティ・ホールがあることを明らかにした。影響を受けるのは,バージョン3.7.1よりも古いすべてのバージョン。OpenSSHに含まれるOpenSSH daemon(sshd)に,サイズが大きなパケットを送信されると,sshdを停止させられる恐れがある。任意のコードを実行させられる可能性もあるという。対策は最新版3.7.1にバージョンアップすることなど。
【9月18日追記,おわびと訂正】
セキュリティ・ホールが修正された最新版のバージョンを「2.7.1」としておりました。正しくは「3.7.1」です。訂正しておわびいたします。
【以上,おわびと訂正】
【9月18日追記】
ネットワーク機器の中にも,今回のセキュリティ・ホールの影響を受けるものがある。例えば,米Cisco Systemsの「Catalyst Switches」シリーズなどが影響を受ける(Cisco Systemsの情報)。CERT/CC
の情報によれば,米Network ApplianceのNetCacheなども影響を受ける。
【以上,9月18日追記】
OpenSSHは,OpenBSD Projectによって開発および保守されている,SSHプロトコルを実装したソフトウエア・パッケージである。OpenSSH は,セキュアなリモート・ログインを実現するためのソリューションとして,多くのUNIXやLinux,OpenBSD,FreeBSDなどのシステムで使われている。
今回見つかったセキュリティ・ホールを悪用すれば,リモートからSSHサーバーのサービスを停止させることができる。つまり,DoS(サービス妨害)攻撃が可能である。SSHサーバー上で任意のコードを実行できる可能性もある。ただし,米Internet Security Systems(ISS)の情報では,任意のコードが実行できるかどうかは未確認であるとしている。また,このセキュリティ・ホールを悪用可能なコード(Exploit)が出回っているという未確認情報があるという。
OpenBSD Projectの情報では,このセキュリティ・ホールを悪用してコードを実行可能(Exploitable)かどうかは未確認ではあるが,セキュリティ・ホールをふさぐよう勧めている。
対策は,最新版のバージョン3.7.1にアップグレードすること。OpenSSHのWebページからダウンロードできる。バージョン3.6.1以前に適用可能な,ソース・コードのパッチも公開されている。
OSベンダーのいくつかは,今回のセキュリティ・ホールに関する情報やセキュリティ・ホールを修正するためのアップグレード・パッケージなどを提供している。それぞれのベンダーのWebサイトなどで確認してほしい。Webサイトに情報がない場合でも,セキュリティ関連メーリング・リスト「Bugtraq」へベンダーから情報が投稿されている場合がある。Bugtraqのアーカイブ(過去の投稿)も確認しておこう。
また,OpenSSHに限らず,OpenSSHをベースにしているソフトウエアも今回のセキュリティ・ホールの影響を受ける。OpenSSH以外のSSHソフトウエアを使っている場合でも,ベンダーのWebサイトなどで,念のために確認しておきたい。
◎参考資料
◆CERT Advisory CA-2003-24 Buffer Management Vulnerability in OpenSSH(CERT/CC)
◆Subject: OpenSSH Security Advisory: buffer.adv(OpenBSD Project)
◆OpenSSH Memory Corruption Vulnerability(ISS)
◆OpenSSH buffer management error(FreeBSD)
(勝村 幸博=IT Pro)