OpenSSHの「regreSSHion」レビュー時にあらたな脆弱性見つかる

OpenSSHにあらたな脆弱性が判明した。「regreSSHion」をレビューする過程で発見されたもので、旧バージョンが影響を受けるという。

リモートよりコードの実行が可能となる「CVE-2024-6409」が公表されたもの。2021年にリリースされた「OpenSSH 8.8」および「同8.7」が影響を受けるという。

別名「regreSSHion」と名付けられた脆弱性「CVE-2024-6387」を調査する過程で発見され、調整を経て現地時間7月8日に公表された。

「CVE-2024-6387」と同じくシグナルハンドリングの競合状態に関する脆弱性としており、非同期に安全ではない関数が呼び出されるおそれがある。「CVE-2024-6387」に比べて権限が低い子プロセスで引き起こされる問題とし、発見者は即時に大きな影響を与えるものではないと説明している。

CVE番号を採番したRed Hatでは共通脆弱性評価システム「CVSSv3.1」のベーススコアを「7.0」、重要度を「中（Moderate）」とレーティングしている。

「同8.8p1」および「同8.7p1」を含む一部ディストリビューションについては同脆弱性の影響が確認されており、アップデートの提供も開始されている。

（Security NEXT - 2024/07/09 ）ツイート