Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「OpenSSH」に脆弱性、アップデートがリリース

「OpenSSH」に脆弱性が明らかとなった。特定の条件が重なるとリモートよりコードの実行が可能になるとしており、「OpenSSH」の開発チームは、脆弱性を修正したアップデートを提供している。

過去に修正された「CVE-2016-10009」の修正が不十分だったことに由来する脆弱性「CVE-2023-38408」が明らかとなったもの。Qualysの研究チームが発見、報告した。

SSHエージェント転送を利用している場合に影響があり、「PKCS#11」のサポートによってディストリビューションにおいて共有ライブラリが保存されているディレクトリを読み込むことができることに起因している。

システム内で利用するパッケージに依存するが、複数の特定ライブラリが同ディレクトリ内に存在する場合、リモートより任意のコマンドを実行することが可能としており、同社では、一部パッケージを追加導入したUbuntuの特定バージョンで動作する実証コード(PoC)の作成にも成功したとしている。

同社では、現地時間7月6日にOpenSSHの開発チームへ初期のパッチを提供。その後連携しつつ対応を進めていた。開発チームは、現地時間7月19日に同脆弱性を修正したアップデート「OpenSSH 9.3p2」をリリース。許可リストを指定するなど緩和策についてもアナウンスしている。

(Security NEXT - 2023/07/26 ) このエントリーをはてなブックマークに追加

PR

関連記事

先週注目された記事(2024年6月30日〜2024年7月6日)
「HTTP File Server」に深刻な脆弱性 - アップデートで修正
講演会応募者に対する通知メールで送信ミス - 所沢商工会議所
全学生の個人情報を海外協定校へ誤送信 - 上智大
中学校で答案用紙などを紛失、成績には影響なし - 一宮市
地理空間データ共有OSS「GeoServer」にRCE脆弱性 - アップデートの実施を
子会社にサイバー攻撃、製品供給に影響なし - J-MAX
認定個人情報保護団体向けメールで誤送信、メアド流出 - 個情委
サイバー攻撃によるシステム障害が発生 - ニシオHD
「Apache HTTPD」のアップデートで旧脆弱性が再発 - 再度更新を