公開日：2024/07/04　最終更新日：2024/07/04

JVNVU#97253999
OpenSSHにおける複数の脆弱性

概要

OpenBSDプロジェクトから、OpenSSHにおける複数の脆弱性に対応したOpenSSH 9.8が公開されました。

影響を受けるシステム

CVE-2024-6387

  • OpenSSH 4.4p1より前のバージョン
  • OpenSSH 8.5p1から9.8p1より前のバージョン
発見者によると、4.4p1より前のバージョンにおいては、CVE-2006-5051、CVE-2008-4109のパッチが適用されている場合は影響を受けないとのことです。また、OpenBSDは、本脆弱性の影響を受けないとのことです。

CVE-2024-39894
  • OpenSSH 9.5から9.7までのバージョン

詳細情報

OpenBSDプロジェクトから、OpenSSHにおける次の複数の脆弱性に対応したOpenSSH 9.8が公開されました。

  • シグナル処理の競合状態に起因してリモートでコードを実行される脆弱性（CVE-2024-6387）
  • ObscureKeystrokeTiming機能のロジックエラーの問題（CVE-2024-39894）
また、開発者はアドバイザリで上記の脆弱性情報の他に、2025年初頭にDSA署名アルゴリズムのサポートを終了する予定であることを述べています。

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 遠隔の認証されていない攻撃者によって、root権限で任意のコードを実行される（CVE-2024-6387）
  • エコーオフパスワード入力やキーストローク入力に対するタイミング攻撃を実行される（CVE-2024-39894）

対策方法

CVE-2024-6387
アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。

ワークアラウンドを実施する
発見者は、アップデートが適用できない場合、ワークアラウンドの適用を推奨しています。

  • LoginGraceTimeの設定値を0にする
MaxStartups（最大接続数）を使い切ることによってsshdをサービス拒否（DoS）にする可能性があるが、リモートコード実行のリスクを回避できるとしています。

CVE-2024-39894
アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。

詳細は、開発者および発見者が提供する情報をご確認ください。

ベンダ情報

ベンダ リンク
OpenBSD project https://www.openssh.com/txt/release-9.8

参考情報

  1. regreSSHion: Remote Unauthenticated Code Execution Vulnerability in OpenSSH server
  2. Qualys Security Advisory
    regreSSHion: RCE in OpenSSH's server, on glibc-based Linux systems (CVE-2024-6387)

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia