glibcベースのLinuxにおけるOpenSSHサーバにて、リモートコードの実行が可能な脆弱性の存在が判明

　米Qualysの脅威研究ユニット（Threat Research Unit ：TRU）は、glibcベースのLinuxにおけるOpenSSHサーバ（sshd）に、認証なしでリモートコードが実行されてしまう（RCE）脆弱性を発見したことを、7月1日（現地時間）に発表した。この脆弱性には、CVE-2024-6387が割り当てられている。

　今回発見された脆弱性は、OpenSSHサーバのシグナルハンドラ競合状態であり、glibcベースのLinuxでrootとして認証されていないリモートコード実行（RCE）が可能になるため、重大なセキュリティリスクが生じる。なお、この脆弱性の原因となる競合状態は、デフォルト構成のsshdに影響する。

　TRUの調査によれば、インターネットに公開されている潜在的に脆弱なOpenSSHサーバインスタンスは1400万件以上に達し、約70万の外部インターネット接続インスタンスが脆弱であることが明らかになった。これは、OpenSSHを使用しているすべてのインターネット接続インスタンスの31％に相当し、うち0.14％超でOpenSSHのEnd-Of-Life／End-Of-Supportバージョンが実行されている。

　分析の結果、この脆弱性は2006年に報告され、すでに修正済みの脆弱性CVE-2006-5051が、その後のソフトウェアリリースによって再び現れたものであることが判明した。この脆弱性の回帰は、2020年10月にリリースされたOpenSSH 8.5p1にて導入されている。

　4.4p1より前のバージョンのOpenSSHは、CVE-2006-5051およびCVE-2008-4109のパッチが適用されていない限り、このシグナルハンドラ競合状態に対して脆弱である。また、4.4p1から8.5p1より前のバージョンは、CVE-2006-5051の変換パッチによって以前は安全ではなかった機能が安全になったため、脆弱性は存在しない。一方、機能内の重要なコンポーネントが誤って削除されたため、8.5p1から9.8p1より前のバージョンでは、この脆弱性が再び発生する。

　この脆弱性が悪用されると、システムが完全に侵害されて攻撃者が最高権限で任意のコードを実行できるようになり、システムが完全に乗っ取られ、マルウェアのインストール、データの操作、永続的なアクセスのためのバックドアの作成などが実行される可能性がある。攻撃者は、侵害されたシステムを足掛かりとして、組織内の他の脆弱なシステムを横断して悪用することが可能になる。

　さらに、攻撃者がrootアクセスを取得すると、ファイアウォール、侵入検知システム、ログ記録メカニズムといった重要なセキュリティメカニズムを回避できるようになるので、攻撃者の活動はさらに不明瞭になり、重大なデータ侵害や漏洩が発生する可能性がある。また、機密情報や独自情報を含む、システムに保存されているすべてのデータへのアクセスが可能になる。

　この脆弱性によるリスクを軽減するには、OpenSSHに利用できるパッチを迅速に適用するとともに、ネットワークベースの制御によってSSHアクセスを制限し、攻撃のリスクを最小限に抑える必要がある。さらに、ネットワークを分割して重要な環境内での不正アクセスと横方向の移動を制限し、悪用の試みを示す異常なアクティビティを監視して警告するシステムの導入も効果的といえる。