PR

 米CERT/CC米Internet Security Systems(ISS)などは米国時間6月26日,フリーのSSH(Secure Shell)ソフト・パッケージ「OpenSSH」にセキュリティ・ホールがあることを明らかにした。

 影響を受けるのは,バージョン 2.3.1 から 3.3。セキュリティ・ホールを悪用されると,OpenSSHのサーバー・プログラム(sshd)を動作させているマシン上で,リモートから任意のプログラムを実行される恐れがある。プログラムはsshdの権限(通常はroot権限)で実行される。

 自分でOpenSSHをインストールした覚えがなくても,多数のOSにバンドルされているので注意が必要である。LinuxやFreeBSD,MacOS X,IBM AIX,Sun Solaris 9(「SunSSH」という名称でバンドルされている)などにバンドルされている(詳細はOpenSSHのサイトを参照)。

 対策はバージョン3.4にアップグレードすること。OpenSSHのサイトで公開されている。併せて,ソース・コードのパッチも同サイトから入手できる。

 CERT/CCによれば,今回のセキュリティ・ホールを悪用可能なコードが既に存在するという。管理者は早急に対策を施す必要がある。

 一時的には設定変更でも回避できる。具体的には,sshdの設定ファイルである「sshd_config」を変更して,今回のセキュリティ・ホールの原因であるチャレンジ・レスポンス認証やPAM認証などを無効にする。設定変更の手順については,CERT/CCの情報などを参考にしてほしい。

◎参考文献
OpenSSH Vulnerabilities in Challenge Response Handling(英語情報,米CERT/CC)
OpenSSH Remote Challenge Vulnerability(英語情報,米ISS)
Revised OpenSSH Security Advisory(OpenSSH.com)

(勝村 幸博=IT Pro)