-----BEGIN PGP SIGNED MESSAGE----- JPCERT-AT-2002-0004 JPCERT/CC 2002-06-27 <<< JPCERT/CC Alert 2002-06-27 >>> OpenSSH サーバプログラムの脆弱性に関する注意喚起 Vulnerability of OpenSSH server program http://www.jpcert.or.jp/at/2002/at020004.txt I. 概要 OpenBSD Project が提供している OpenSSH サーバプログラム sshd に脆弱 性が発見されました。結果として、遠隔から第三者が root 権限を取得する可 能性があります。詳細については、以下の URL で示されるページを参照して ください。 CERT Advisory CA-2002-18 OpenSSH Vulnerabilities in Challenge Response Handling http://www.cert.org/advisories/CA-2002-18.html AUSCERT Advisory AA-2002.05 OpenSSH Vulnerabilities http://www.auscert.org.au/Information/Advisories/advisory/AA-2002.05.txt OpenSSH Security Advisory http://www.openssh.com/txt/preauth.adv II. 対象 OpenBSD Project からの情報によると、この問題が存在することが確認され ているのは以下のバージョンです。 Original Version: 2.3.1 から 3.3 の間の全てのバージョン Portable Version: 2.3.1p1 から 3.3p1 の間の全てのバージョン ※ Original Version は、OpenBSD 用の OpenSSH であり、Portable Version は、それ以外のプラットフォーム用です。 III. 解決方法 この問題は、対策済みのパッケージに更新する、もしくは OpenSSH 3.4 (3.4p1) 以降に更新することで解決します。パッケージに関する最新の情報に ついては、ベンダや配布元などが公開している情報を参照してください。また、 以下の URL で示されるページも併せてご参照ください。 CERT/CC Vulnerability Note VU#369347 OpenSSH vulnerabilities in challenge response handling http://www.kb.cert.org/vuls/id/369347 ソフトウェアの更新が困難または不可能な場合、もしくは問題を修正したパッ ケージが公開されていない OS を使用している場合は、一時的な対応として以 下のような方法があります。 (1) SSH プロトコルバージョン 2 を無効にする /etc/ssh/sshd_config (または /etc/sshd_config など) において Protocol 1 と設定し、sshd を再起動します。 (2) アクセス制限 ルータなどのフィルタリング機能を使用して、SSH ポート (22/tcp) への不 要なアクセスを制限します。 tcp_wrappers の libwrap をリンクしている sshd を使用している場合は、 /etc/hosts.allow や /etc/hosts.deny などを用いてアクセスできるホストや ネットワークを制限します。 アクセスを制限しても、アクセスを許可したホストおよびネットワークから の攻撃に対しては無防備であることにご注意ください。 IV. その他注意事項 OpenSSH 3.4 へ更新する際には、いくつか注意すべき点があります。例えば、 標準で Privilege Separation 機能が有効になっているため、実行権限として sshd (もしくは nobody) ユーザが必要になります。もしそれらのユーザが存 在しない場合は、サーバプログラム sshd が起動しないことがあります。 ※ Privilege Separation 機能については、以下の URL で示されるページを 参照してください。 Privilege Separated OpenSSH http://www.citi.umich.edu/u/provos/ssh/privsep.html 詳細は OpenSSH 3.4 に添付の文書などをご参照ください。 [関連文書] ※ 更新される可能性がありますので最新版をご確認ください。 OpenBSD 3.1 errata 006: SECURITY FIX: Jun 24, 2002 http://www.openbsd.org/errata.html#sshd Internet Security Systems Security Advisory OpenSSH でのリモート チャレンジの脆弱点 http://www.isskk.co.jp/support/techinfo/general/OpenSSH_xforce.html 今回の件につきまして当方まで提供いただける情報がございましたら、ご連 絡ください。 ====================================================================== コンピュータ緊急対応センター (JPCERT/CC) http://www.jpcert.or.jp/ -----BEGIN PGP SIGNATURE----- Version: 2.6.3ia Charset: noconv iQCVAwUBPvbS2Ix1ay4slNTtAQG22AQAwWoqmL/v2dP1R1DpQveB3m92RGd2csGK clJdlS2DzhoYjdOhfFSB9QELYebIGjBh0GYdPOY0pfFEuYp6QmXbMD97xkNyL4dd nJsWELsowhU6D3VBaNU77vhTfi38bAAt/3NHOsg5vySLFkaDbDmEDqvooFe18oel dND99HcpKnU= =/vVc -----END PGP SIGNATURE-----