Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「OpenSSH」に悪用可能性が高い脆弱性 - パッチ適用やPW強度の再チェックを

「OpenSSH」のパスワード認証において、試行回数の制限を回避できる脆弱性が7月に発見された。悪用される可能性が高いとして、セキュリティ専門家がパッチの適用や回避策の実施など対策を講じるよう呼びかけている。

問題が指摘されている「CVE-2015-5600」は、「同6.9」および以前のバージョンにおけるパスワード認証処理に存在する脆弱性。認証の試行回数に制限をかけている場合にも、制限時間内であれば制限なく試行できるという。

同脆弱性について、検証を行ったソフトバンク・テクノロジー(SBT)は、悪用が容易であると指摘。ネットワーク機器でデフォルトのパスワードをそのまま利用したり、脆弱なパスワードの利用することは、それだけでも危険だが、同脆弱性によって試行回数の制限を回避されると、辞書などを用いた攻撃がより成功しやすくなる可能性がある。システムが乗っ取られた場合のダメージも大きい。

今回の脆弱性は、パスワード認証において、文字や数字、記号などを不規則に組み合わせ、第三者が予想できない十分な長さを持つ強固なパスワードを用いていれば、影響は小さくなる。

さらに脆弱性そのものは、修正パッチが提供されており、適用することで脆弱性の悪用を防ぐことが可能。対策がすぐ講じることができない場合は、設定変更によって回避できるとし、SBTでは、具体的な設定方法について情報を公開している。

また同社は「OpenSSH」の利用にあたり、公開鍵認証を利用するなど、攻撃を受けにくい環境の整備や、ポート番号の変更など、セキュリティ対策などを呼びかけている。

(Security NEXT - 2015/08/07 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Symantec Messaging Gateway」にRCEやCSRFの脆弱性 - アップデートで修正
「VMware NSX-V Edge」にサービス拒否の脆弱性
「Apache Tomcat」のキャッシュ処理などに脆弱性 - 既存のアップデートで対応済み
バッファロー製「WCR-1166DS」にOSコマンドインジェクションの脆弱性
「Adobe Experience Manager」に脆弱性、修正パッチがリリース
「Adobe Digital Editions」に深刻な脆弱性 - スマホ版にも影響
MS、月例セキュリティ更新で「緊急」25件含む脆弱性48件を解消
「Adobe Flash Player」のセキュリティアップデートがリリース - 深刻な脆弱性へ対応
「Adobe Acrobat/Reader」が脆弱性67件を修正 - 43件が「クリティカル」
バッファロー製無線ルータにRCEの脆弱性 - 修正ファームウェアを公開