JPCERT-AT-2002-0004
JPCERT/CC
2002-06-27
<<< JPCERT/CC Alert 2002-06-27 >>>
OpenSSH サーバプログラムの脆弱性に関する注意喚起
Vulnerability of OpenSSH server program
http://www.jpcert.or.jp/at/2002/at020004.txt
I. 概要
OpenBSD Project が提供している OpenSSH サーバプログラム sshd に脆弱
性が発見されました。結果として、遠隔から第三者が root 権限を取得する可
能性があります。詳細については、以下の URL で示されるページを参照して
ください。
CERT Advisory CA-2002-18
OpenSSH Vulnerabilities in Challenge Response Handling
http://www.cert.org/advisories/CA-2002-18.html
AUSCERT Advisory AA-2002.05
OpenSSH Vulnerabilities
http://www.auscert.org.au/Information/Advisories/advisory/AA-2002.05.txt
OpenSSH Security Advisory
http://www.openssh.com/txt/preauth.adv
II. 対象
OpenBSD Project からの情報によると、この問題が存在することが確認され
ているのは以下のバージョンです。
Original Version: 2.3.1 から 3.3 の間の全てのバージョン
Portable Version: 2.3.1p1 から 3.3p1 の間の全てのバージョン
※ Original Version は、OpenBSD 用の OpenSSH であり、Portable Version
は、それ以外のプラットフォーム用です。
III. 解決方法
この問題は、対策済みのパッケージに更新する、もしくは OpenSSH 3.4
(3.4p1) 以降に更新することで解決します。パッケージに関する最新の情報に
ついては、ベンダや配布元などが公開している情報を参照してください。また、
以下の URL で示されるページも併せてご参照ください。
CERT/CC Vulnerability Note VU#369347
OpenSSH vulnerabilities in challenge response handling
http://www.kb.cert.org/vuls/id/369347
ソフトウェアの更新が困難または不可能な場合、もしくは問題を修正したパッ
ケージが公開されていない OS を使用している場合は、一時的な対応として以
下のような方法があります。
(1) SSH プロトコルバージョン 2 を無効にする
/etc/ssh/sshd_config (または /etc/sshd_config など) において
Protocol 1
と設定し、sshd を再起動します。
(2) アクセス制限
ルータなどのフィルタリング機能を使用して、SSH ポート (22/tcp) への不
要なアクセスを制限します。
tcp_wrappers の libwrap をリンクしている sshd を使用している場合は、
/etc/hosts.allow や /etc/hosts.deny などを用いてアクセスできるホストや
ネットワークを制限します。
アクセスを制限しても、アクセスを許可したホストおよびネットワークから
の攻撃に対しては無防備であることにご注意ください。
IV. その他注意事項
OpenSSH 3.4 へ更新する際には、いくつか注意すべき点があります。例えば、
標準で Privilege Separation 機能が有効になっているため、実行権限として
sshd (もしくは nobody) ユーザが必要になります。もしそれらのユーザが存
在しない場合は、サーバプログラム sshd が起動しないことがあります。
※ Privilege Separation 機能については、以下の URL で示されるページを
参照してください。
Privilege Separated OpenSSH
http://www.citi.umich.edu/u/provos/ssh/privsep.html
詳細は OpenSSH 3.4 に添付の文書などをご参照ください。
[関連文書]
※ 更新される可能性がありますので最新版をご確認ください。
OpenBSD 3.1 errata 006: SECURITY FIX: Jun 24, 2002
http://www.openbsd.org/errata.html#sshd
Internet Security Systems Security Advisory
OpenSSH でのリモート チャレンジの脆弱点
http://www.isskk.co.jp/support/techinfo/general/OpenSSH_xforce.html
今回の件につきまして当方まで提供いただける情報がございましたら、ご連
絡ください。
======================================================================
コンピュータ緊急対応センター (JPCERT/CC)
http://www.jpcert.or.jp/
Topへ