OpenSSH、認証を回避する「SSHole」脆弱性に対し緊急パッチを公開

パスワードに関する混乱

脆弱性の説明によると、リモートでマシンに接続するためのSSHサーバーは、musl libcライブラリを使用し、PAM（Pluggable Authentication Module、認証を管理するコンポーネント）モジュールが無効になっているLinuxディストリビューションにのみ影響します。この欠陥は、文字列がパスワードのハッシュ（つまり、パスワードのエンコードされたバージョン）であるかどうかについての「誤った解釈」に起因します。この場合、攻撃者は257文字から1,024文字の任意のパスワードを使用して特定のアカウントにアクセスできる可能性があります。

この問題は、rootアカウントなど、本来パスワードを受け入れるべきではないアカウントにも影響します。セキュリティ研究者のÖzgün Kültekin氏が指摘するように、Alpine、OpenWrt、Buildroot、Yoctoなどのディストリビューションでは、これらのアカウントがパスワードを受け入れています。

OpenSSHの開発者であるDamien Miller氏は、脆弱性はsshd自体にあるのではなく、sshdを介して悪用される可能性があると説明しています。パッチはOpenSSHバージョン10.6p2に含まれています。

加速された公開

Damien Miller氏は公開の迅速さについて次のように正当化しています：「私たちはこのバージョンをできるだけ早く公開しています（問題を昨日発見しました）。なぜなら、最近、AIエージェントによるバグの迅速な再発見が数時間以内に複数回観察されたからです。したがって、長いエンバーゴ期間は主に攻撃者に利益をもたらす危険な慣行であると考えています。」

一方、Alpine Linuxはユーザーに対し、OpenSSHのパッチを直ちに適用してsshdを再起動するか、パスワードによる接続を無効にしてからサービスを再起動するよう求めています。同ディストリビューションは、攻撃者はパスワードフィールドが「*」であるアカウント名を知っている必要があり（これはキーのみでアクセス可能なアカウントでは通常のことです）、またマシンには$5$または$6$で始まるパスワードハッシュを持つ少なくとも1つの他のアカウントが必要であると説明しています。

Alpine Linuxは、3.21から3.24までのすべての管理バージョン、およびedgeブランチ、さらに定期的な更新を受けていない古いバージョン（3.16から3.20）が影響を受けると述べています。また、「SSHポートに到達できる攻撃者は、パスワードを知らなくても接続できます。1回の接続で十分であり、毎回機能し、再試行は必要ありません。」と強調しています。

監視すべき悪用のリスク

Alpine Linuxは、まだ悪用の報告を受けていないと述べています。しかし、Detectifyの共同創設者兼主任セキュリティ研究者であるFredrik Almroth氏は、詳細が公開されており攻撃が単純であるため、数時間以内にスキャンが開始される可能性があると見ています。彼は、Shodanが約2,200万のSSHポート22が開いているシステムをリストしており、この数字は実際より少ないと判断し、各試行には1回の接続しか必要ないことを指摘しています。

WatchTowrの脅威インテリジェンス責任者であるJake Knott氏は、週末までにブルートフォース攻撃の試みが見られないことは「非常に驚くべきこと」だと述べています。彼は、可能であれば最新バージョンに更新し、それまでの間はパスワード認証を無効にすることを推奨しています。