このREADMEでは、OpenSSH のインストールが CVE-2024-6387 に対して脆弱かどうかを確認するスクリプトの使い方を説明します。スクリプトはシステムにインストールされている sshd バイナリを検査し、そのバージョンを特定し、検出されたバージョンに基づいて脆弱性の有無をチェックします。
awk、grep、sed、strings、cut ユーティリティが利用可能であることスクリプトは以下の手順を実行します。
type -a sshd コマンドを使用して、すべての sshd のインスタンスを特定します。sshd バイナリからバージョン文字列を抽出します。sshd バイナリについて、バージョンと脆弱性の状態を出力します。スクリプトをファイル（例：check_cve_2024_6387.sh）にコピーします。
スクリプトに実行権限を付与します。
chmod +x check_cve_2024_6387.sh
スクリプトを実行します。
./check_cve_2024_6387.sh
#!/bin/bash
for each_entry in $(type -a sshd | awk '{print $NF}' | uniq); do
version_string=$(strings "$each_entry" | grep -o "OpenSSH_[0-9]\+\.[0-9]\+p[0-9]\+" | uniq)
if [ -n "$version_string" ]; then
version=$(echo "$version_string" | sed -E 's/OpenSSH_([0-9]+\.[0-9]+)p[0-9]+/\1/')
major_version=$(echo $version | cut -d '.' -f 1)
minor_version=$(echo $version | cut -d '.' -f 2)
if [ "$major_version" -lt 4 ] || ([ "$major_version" -eq 4 ] && [ "$minor_version" -lt 4 ]); then
status="YES (Unless patched for CVE-2006-5051 and CVE-2008-4109)"
elif ([ "$major_version" -eq 4 ] && [ "$minor_version" -ge 4 ]) || ([ "$major_version" -ge 5 ] && [ "$major_version" -lt 8 ]) || ([ "$major_version" -eq 8 ] && [ "$minor_version" -lt 5 ]); then
status="NO"
elif ([ "$major_version" -eq 8 ] && [ "$minor_version" -ge 5 ]) || ([ "$major_version" -eq 9 ] && [ "$minor_version" -le 7 ]); then
status="YES"
else
status="Unknown"
fi
echo "Found OpenSSH version: $version in $each_entry"
echo "Vulnerability Status: $status"
if [ "$status" == "YES" ]; then
echo "Patch Immediately to OpenSSH 9.8/9.8p1"
fi
else
echo "No match found for $each_entry"
fi
done