glibcベースのLinuxにおけるOpenSSHサーバの脆弱性が、過去に一旦解消されたものと判明

　Qualysの脅威研究ユニット（Threat Research Unit）は7月1日(現地時間)、OpenSSHの脆弱性(CVE-2024-6387)が、「2006年に報告されて一旦解消したものの、その後のリリース(OpenSSH 8.5p1)によって再び現れた」ものだと明らかにした。

　今回発見された脆弱性は、OpenSSHサーバのシグナルハンドラ競合状態が原因となっており、glibcベースのLinuxで問題となる。この競合状態は、デフォルト構成のOpenSSHに影響する。Threat Research Unitによれば、潜在的な脆弱性を持つOpenSSHはインターネットに公開されているもので1400万件以上に達するという。

　また、この脆弱性は2006年に報告されたものであり、その時点で解消したものの、その後のリリース(OpenSSH 8.5p1)によって再び現れたとしている。このため、該当する脆弱性は、OpenSSH 4.4p1より前のバージョン、および8.5p1から9.8p1以前のバージョンに存在するとしている。

　この脆弱性が悪用されると、システムが完全に侵害されて攻撃者が最高権限で任意のコードを実行できるようになる恐れがある。この脆弱性によるリスクを軽減するには、修正パッチを迅速に適用するだけでなく、ネットワークベースの制御によってSSHアクセスを制限し、攻撃のリスクを最小限に抑えることが要求されるという。

(川原 龍人/びぎねっと)

[関連リンク]
Blogによる記事