glibcベースのLinuxにおけるOpenSSHサーバの脆弱性が、過去に一旦解消されたものと判明
2024年7月6日(土)
Qualysの脅威研究ユニット(Threat Research Unit)は7月1日(現地時間)、OpenSSHの脆弱性(CVE-2024-6387)が、「2006年に報告されて一旦解消したものの、その後のリリース(OpenSSH 8.5p1)によって再び現れた」ものだと明らかにした。
今回発見された脆弱性は、OpenSSHサーバのシグナルハンドラ競合状態が原因となっており、glibcベースのLinuxで問題となる。この競合状態は、デフォルト構成のOpenSSHに影響する。Threat Research Unitによれば、潜在的な脆弱性を持つOpenSSHはインターネットに公開されているもので1400万件以上に達するという。
また、この脆弱性は2006年に報告されたものであり、その時点で解消したものの、その後のリリース(OpenSSH 8.5p1)によって再び現れたとしている。このため、該当する脆弱性は、OpenSSH 4.4p1より前のバージョン、および8.5p1から9.8p1以前のバージョンに存在するとしている。
この脆弱性が悪用されると、システムが完全に侵害されて攻撃者が最高権限で任意のコードを実行できるようになる恐れがある。この脆弱性によるリスクを軽減するには、修正パッチを迅速に適用するだけでなく、ネットワークベースの制御によってSSHアクセスを制限し、攻撃のリスクを最小限に抑えることが要求されるという。
(川原 龍人/びぎねっと)
[関連リンク]
Blogによる記事
その他のニュース
- 2024/10/12 「Ubuntu 24.10(Oracular Oriole)」リリース
- 2024/10/10 「OpenBSD 7.6」リリース
- 2024/10/10 パッケージ管理システム「RPM 4.20.0」リリース
- 2024/10/9 「Qt 6.8」リリース
- 2024/10/8 KDE、デスクトップ環境「KDE Plasma 6.2.0」リリース
Think ITメルマガ会員登録受付中
Think ITでは、技術情報が詰まったメールマガジン「Think IT Weekly」の配信サービスを提供しています。メルマガ会員登録を済ませれば、メルマガだけでなく、さまざまな限定特典を入手できるようになります。