脆弱性の修復と緩和CVE-2024-6387
Qualys脅威調査ユニット（TRU）は、「regreSSHion」と名付けられた深刻なセキュリティ上の欠陥を詳細に報告しました。この欠陥により、数百万のLinuxシステムがリモートコード実行（RCE）に対して脆弱な状態にあります。CVE-2024-6387として識別され、2024年5月に発見されたこの脆弱性は、glibcベースのLinuxシステム上のOpenSSHサーバー（sshd）に影響を及ぼし、認証されていない攻撃者がルートアクセスを取得し、影響を受けるマシンを完全に制御できるようになります。
「このバグは、約20年ぶりのOpenSSHの脆弱性です。認証なしのRCEでルートアクセスが可能になります。デフォルト設定に影響し、ユーザーの操作を必要としないため、悪用のリスクが非常に高い」とQualysの研究グループは指摘しています。
Qualysはまた、悪用プロセスと可能な緩和戦略について掘り下げた、より技術的な記事も公開しています。
regreSSHionの欠陥は、Linux上のOpenSSHサーバーのうち、バージョン8.5p1以上、9.8p1未満に影響します。バージョン4.4p1以上8.5p1未満は、CVE-2006-5051のパッチにより以前に安全でなかった関数が保護されているため、CVE-2024-6387に対して脆弱ではありません。バージョン4.4p1未満は、CVE-2006-5051およびCVE-2008-4109のパッチが適用されていない限り、この回帰に対して脆弱です。
この脆弱性に対する概念実証（PoC）はすでに公開されており、インターネット上で脆弱なサーバーを検索することも可能です。
CVE-2024-6387はOpenSSHの以前のバージョンに影響し、最新バージョンへのアップデートで修正できます。このチュートリアルでは、最新バージョンのOpenSSHをダウンロード、コンパイル、インストールする手順を説明し、インストールがこの脆弱性に対して安全であることを確認します。
まず、最新のOpenSSHバージョンのコンパイルをダウンロードして準備します。
以下のコマンドを実行してシステムを更新し、必要な依存関係をインストールします:
apt update
apt install build-essential zlib1g-dev libssl-dev libpam0g-dev libselinux1-dev wget -y
/usr/local/srcディレクトリに移動し、最新のOpenSSHパッケージをダウンロードします:
cd /usr/local/src
wget https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-9.8p1.tar.gz
tar -xzf openssh-9.8p1.tar.gz
cd openssh-9.8p1
次に、OpenSSHをコンパイルしてインストールします:
./configure
make
make install
インストール後、OpenSSHのバージョンを確認してアップデートが成功したことを確認します:
/usr/local/bin/ssh -V
新しいOpenSSHが正しいPATHにあることを確認します。
/usr/local/binをPATHに追加します:
export PATH=/usr/local/bin:$PATH
この行をプロファイルファイル（~/.bashrcまたは~/.profile）に追加して永続化します:
echo 'export PATH=/usr/local/bin:$PATH' >> ~/.bashrc
source ~/.bashrc
SSHサービスを再起動して、新しいバージョンが使用されていることを確認します。現在のSSH接続を切断しないように十分注意してください:
systemctl restart ssh
これらの手順に従うことで、重要なCVE-2024-6387脆弱性からOpenSSHインストールを保護できました。常に警戒を怠らず、システムを最新のセキュリティパッチで最新の状態に保ってください。