ISS X-Force は、OpenSSHの「リモートからの攻撃に対する脆弱性」 に関する勧告を発表しました。 残念ながら、この勧告はいくつかの点で正しくないため、この脆弱性 に対する衝撃についての広い混乱を招いてしまいます。 Debian の OpenSSH のバージョンはどれも、ISS の勧告で言及されていた SKEY およびBSD_AUTH 認証の方法に影響を受けません。 しかし、Debian は、その後に出た OpenSSH チームの勧告で脆弱性として 言及されていた PAM 機能をもった OpenSSH サーバを含んでいます。 (この脆弱な機能とは、キーボードを用いた対話的メカニズム [kbdint] を通じた PAM を用いての認証のことです。) この脆弱性は、OpenSSH のバージョン 2.3.1 から 3.3 に影響します。 現在は、 PAM/kbdint の脆弱性をついた不正利用は現在のところありませんが、 その 詳細は広く知られています。これらの脆弱性はすべて OpenSSH 3.4 では修正されています。
上で述べた脆弱性の修正に加えて、我々の OpenSSH パッケージのバージョン 3.3以上は、Niels Provos さんによる新しい権限分離機能をサポートしています。 これは ssh に、殆どの作業を、権限を持たないように分離された プロセスに行わせるようにするというものです。 OpenSSH の、権限をもたない部分の脆弱性は、直接的な root 権限の不正使用 にはつながらず、権限のないアカウントの不正使用は空の chroot に限定されます。 権限分離は、さらなる OpenSSH の不正使用の危険性を減らすために 必要なのです。
Debian 2.2 (potato) は、OpenSSH 1.2.3 に基づいた ssh パッケージ とともに配布され、この勧告の言及している脆弱性に関しては、脆弱では ありません。 バージョン 1.2.3 の ssh パッケージを用いているユーザには、そう急いで OpenSSH 3.4 にアップグレードする必要はありません。 以前の DSA-134 の繰り返しでOpenSSH のバージョン3.3 のパッケージに アップグレードしたユーザは、OpenSSH 3.3 パッケージは脆弱なので、新しい バージョン 3.4 にアップグレードする必要があります。 OpenSSH 1.2.3 を用いているユーザには、権限分離機能を利用できるように OpenSSH 3.4 に移行することもお考えくださると良いでしょう。 (しかしながら、我々は OpenSSH 1.2.3 の脆弱性については特別の知識を持ち あわせておりません。OpenSSH 1.2.3 からアップグレードする際には、下記の リストにある警告を十分お読みください。) OpenSSH のバージョン 2.0 以降のバックポートされたバージョンを potato でお使いのユーザには、OpenSSH 3.4 に以降することをお勧めします。
現在リリース前となっているバージョンの Debian (woody) は、OpenSSH の バージョン 3.0.2p1 のパッケージ (ssh) を含んでいます。これは、前述の PAM/kbdint の問題を持っています。OpenSSH 3.4 にアップグレードし、 権限分離ができるようにするようお勧めします。 アップグレードの前に、下記のリリースノートをよくお読みください。 ssh-krb5 (kerberos 認証をサポート している OpenSSH パッケージ) 用にアップデートされたパッージは、現在開発途上です。 現在 OpenSSH パッケージをアップグレードできないユーザは、 脆弱な機能を止めることによって、知られている脆弱性をどうにかすることが できます: 下記の行がコメントを外して/etc/ssh/sshd_config の中に 書かれていることを確認してから、ssh を再起動してください。
PAMAuthenticationViaKbdInt no ChallengeResponseAuthentication no
sshd_config の中には、これ以外に PAMAuthenticationViaKbdInt または ChallengeResponseAuthentication が書かれていてはなりません。
これで、この勧告の、脆弱性に関する節はおしまいです。これ以降に書かれている ことは、OpenSSH 3.4 のリリースノートと、権限の切り離し機能についての記述です。 OpenSSH 3.4 パッケージの URL は、最後に書かれています。
アップグレードに関するいくつかの注記:
この勧告で修正された以前の OpenSSH 3.3p1 パッケージの問題 (完全な changelog ではありません):
重ねて述べますが、我々は、通常よりも変更点が大きく、 試験をあまり行っていないパッケージをリリースしたことを遺感に思っています; 潜在的な厳しさと、根源的な脅威があるという、特定ではない自然の事実 を受けて、我々は、ユーザにとってはできるだけ早く評価できるパッケージを 手にすることができることが最も有益であると考えました。 我々は、追加の情報を受け次第それを発信し、顕著な問題については それと取り組んでいこうと考えています。
一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。 (DSA-134-2) (DSA-134-3) (DSA-134-4)