JPCERT-AT-2002-0004
JPCERT/CC
2002-06-27

JPCERT/CC Alert 2002-06-27

OpenSSH サーバプログラムの脆弱性に関する注意喚起

Vulnerability of OpenSSH server program

http://www.jpcert.or.jp/at/2002/at020004.txt

I. 概要

OpenBSD Project が提供している OpenSSH サーバプログラム sshd に脆弱性が発見されました。結果として、遠隔から第三者が root 権限を取得する可能性があります。詳細については、以下の URL で示されるページを参照してください。

CERT Advisory CA-2002-18
OpenSSH Vulnerabilities in Challenge Response Handling
http://www.cert.org/advisories/CA-2002-18.html

AUSCERT Advisory AA-2002.05
OpenSSH Vulnerabilities
http://www.auscert.org.au/Information/Advisories/advisory/AA-2002.05.txt

OpenSSH Security Advisory
http://www.openssh.com/txt/preauth.adv


II. 対象

OpenBSD Project からの情報によると、この問題が存在することが確認されているのは以下のバージョンです。

Original Version: 2.3.1 から 3.3 の間の全てのバージョン
Portable Version: 2.3.1p1 から 3.3p1 の間の全てのバージョン

※ Original Version は、OpenBSD 用の OpenSSH であり、Portable Version
は、それ以外のプラットフォーム用です。


III. 解決方法

この問題は、対策済みのパッケージに更新する、もしくは OpenSSH 3.4(3.4p1) 以降に更新することで解決します。パッケージに関する最新の情報については、ベンダや配布元などが公開している情報を参照してください。また、以下の URL で示されるページも併せてご参照ください。

CERT/CC Vulnerability Note VU#369347
OpenSSH vulnerabilities in challenge response handling
http://www.kb.cert.org/vuls/id/369347

ソフトウェアの更新が困難または不可能な場合、もしくは問題を修正したパッケージが公開されていない OS を使用している場合は、一時的な対応として以下のような方法があります。

(1) SSH プロトコルバージョン 2 を無効にする

/etc/ssh/sshd_config (または /etc/sshd_config など) において

Protocol 1

と設定し、sshd を再起動します。


(2) アクセス制限

ルータなどのフィルタリング機能を使用して、SSH ポート (22/tcp) への不要なアクセスを制限します。

tcp_wrappers の libwrap をリンクしている sshd を使用している場合は、/etc/hosts.allow や /etc/hosts.deny などを用いてアクセスできるホストやネットワークを制限します。

アクセスを制限しても、アクセスを許可したホストおよびネットワークからの攻撃に対しては無防備であることにご注意ください。


IV. その他注意事項

OpenSSH 3.4 へ更新する際には、いくつか注意すべき点があります。例えば、標準で Privilege Separation 機能が有効になっているため、実行権限としてsshd (もしくは nobody) ユーザが必要になります。もしそれらのユーザが存在しない場合は、サーバプログラム sshd が起動しないことがあります。

※ Privilege Separation 機能については、以下の URL で示されるページを
参照してください。

Privilege Separated OpenSSH
http://www.citi.umich.edu/u/provos/ssh/privsep.html

詳細は OpenSSH 3.4 に添付の文書などをご参照ください。



[関連文書]

※ 更新される可能性がありますので最新版をご確認ください。

OpenBSD 3.1 errata 006: SECURITY FIX: Jun 24, 2002
http://www.openbsd.org/errata.html#sshd

Internet Security Systems Security Advisory
OpenSSH でのリモート チャレンジの脆弱点
http://www.isskk.co.jp/support/techinfo/general/OpenSSH_xforce.html


今回の件につきまして当方まで提供いただける情報がございましたら、ご連絡ください。

==============================
コンピュータ緊急対応センター (JPCERT/CC)
http://www.jpcert.or.jp/