zenzue/cve-2024-6387-mitigationOpenSSH における CVE-2024-6387 の緩和ガイド
このドキュメントでは、OpenSSH の 8.5p1 から 9.8p1 に影響を与えるセキュリティ脆弱性である CVE-2024-6387 を緩和する手順について説明します。この脆弱性は、次の 2 つの方法で緩和できます。
LoginGraceTime を調整して、攻撃の機会となる時間枠を短縮する。LoginGraceTime の設定LoginGraceTime パラメータは、SSH クライアントが認証を完了するまでの制限時間を指定します。このパラメータを 0 に設定すると、接続時に即座の認証を要求することで、脆弱性の時間枠を効果的に短縮できます。
LoginGraceTime を調整する手順SSH 設定ファイルを開く
root ユーザーとして、テキストエディタで /etc/ssh/sshd_config ファイルを開きます。例：
vim /etc/ssh/sshd_config
LoginGraceTime パラメータを変更する
LoginGraceTime パラメータを探します。存在する場合は、次のように変更します：
LoginGraceTime 0
パラメータが存在しない場合は、同じ設定でファイルに追加します。
ファイルを保存して閉じる 変更後、ファイルを保存してテキストエディタを終了します。
SSH サービスを再起動する SSH デーモンを再起動して変更を適用します：
systemctl restart sshd.service
設定を検証する（オプション） 設定が正しく適用されていることを確認します：
sshd -T | grep logingracetime
このコマンドは logingracetime 0 を出力し、設定が適用されていることを確認できます。
CVE-2024-6387 にパッチを適用するアップグレードパスが利用可能な場合は、OpenSSH をそのバージョンに更新することをお勧めします。OpenSSH をアップグレードする一般的な手順は次のとおりです：
現在のバージョンを確認する システムにインストールされている OpenSSH の現在のバージョンを確認します：
ssh -V
利用可能なバージョンを検索する ディストリビューションのリポジトリにパッチ適用済みバージョンがあるか確認します：
apt list -a openssh-server
OpenSSH をアップグレードする 安全なバージョンが利用可能な場合は、パッケージマネージャを使用してアップグレードします：
sudo apt update
sudo apt upgrade openssh-server
SSH サービスを再起動する SSH デーモンを再起動してアップグレードを適用します：
systemctl restart sshd.service
アップグレードを検証する バージョンを再度確認して、アップグレードが成功したことを確認します：
ssh -V