regreSSHion（CVE-2024-6387）

何が起きた

regreSSHion と呼ばれる、OpenSSH のサーバー（sshd）の弱点です。以前に修正された問題（CVE-2006-5051）が、再び入り込んでしまったものでした。sshd が、ある種の合図（シグナル）を安全ではない方法で処理してしまうことがありました。ログインしていない攻撃者が、決められた時間内にログインを終えないことで、この問題を引き起こせるおそれがありました。最悪の場合、管理者（root）の権限でプログラムを動かされるおそれがありました（公式の実証は 32 ビットの Linux で、長い時間がかかりました）。この脆弱性は、CISA の KEV（悪用が確認された脆弱性の一覧）には載っていません。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

OpenSSH のサーバー（sshd）の 8.5p1〜9.7p1 を使っている人や組織が影響を受けました。

何をすればいい

今でも古いバージョンが使われていないか確認してください。OpenSSH 9.8 以降、または OS の提供元の修正版に更新します。すぐに更新できない場合は、設定ファイルで LoginGraceTime を 0 にする方法があります。ただし、接続を埋められてサービスが止まるおそれは残ります。

やることチェックリスト

• サーバーのOpenSSHのバージョンを確かめる
• OpenSSH 9.8以降かOSの修正版に更新する
• すぐ更新できなければLoginGraceTimeを0にする

用語メモ

sshd

OpenSSH の中で、SSH の接続を受け付けるサーバーのプログラムのことです。

シグナル

プログラムに「時間切れ」などの出来事を知らせるための、OS からの合図のことです。