ニュース
2001年 12月 17日

SSH Secure Shell 3.0.0 セキュリティ アドバイザリ- Secure Shell での Remote Root Exploit の可能性について

SSH Secure Shell 3.0.0 を使用しているユーザーは、ただちに SSH Secure Shell 3.0.1 にアップグレードすることをお薦めします。

SSH Secure Shell 3.0.0 において、Unix に限り、2 文字以下のパスワード フィールドエントリがあるアカウントに関して、リモートからの root 権限の不正使用 (remote root exploit) の可能性があることがわかりました。権限のないユーザーが空のパスワードを含む任意のパスワードを使用して、このようなアカウントにログインできる可能性があります。この影響があるのは、Unix 向けの SSH Secure Shell 3.0.0 です。これは、sshd2 デーモンに対するパスワード認証の問題です。デフォルトで /usr/local/bin にある SSH Secure Shell クライアントバイナリは、この影響を受けません。

SSH Secure Shell 3.0.1 では、この問題が解決されます。

この問題によってご迷惑をおかけして大変申し訳ありません。ＳＳＨ コミュニケーションズ・セキュリティ (ＳＳＨ社) では、セキュリティ上の問題を深刻に受け止めており、CERT アドバイザリ（カーネギーメロン大学のコンピュータ緊急対応センター）、Bugtraq、およびお客様に対してこの問題を通知済みです。後で説明するいずれかの方法を使用して、お客様のシステムが保護されていることをできる限り早く確認してください。適切な措置を取らない場合、この情報が広く知れ渡るにつれて、お客様のシステムにより大きなリスクが生じる可能性があります。

ＳＳＨ社では、ユーザーおよび製品に対する対応とサポートには万全を期しております。

ＳＳＨ社では、非営利団体および大学関連のお客様に対しては、個別に応答できかねることがあります。ＳＳＨ社では、ユーザーおよび製品に対する対応とサポートには万全を期しており、ご質問や懸念事項に対処する関連情報について公表していく予定です。

以下では、この問題の詳細について説明します。

SSH Secure Shell 3.0.1 での Remote Root Exploit の可能性について

影響のあるシステム

SSH Secure Shell 3.0.0 のセキュリティ問題は以下のシステムに影響があります：


  • # Red Hat 6.2 Linux 6.1 〜 7.1
  • Solaris 2.6 〜 2.8
  • Caldera Linux 2.4
  • Suse Linux 6.4 〜 7.0
  • HPUX 10.20
  • HPUX 11.00
概要
SSH Secure Shell 3.0.0 において、Unix に限り、2 文字以下のパスワード フィールドエントリがあるアカウントに関して、リモートからの root 権限の不正使用 (remote root exploit) の可能性があることがわかりました。権限のないユーザーが空のパスワードを含む任意のパスワードを使用して、このようなアカウントにログインできる可能性があります。この影響があるのは、Unix 向けの SSH Secure Shell 3.0.0 です。これは、sshd2 デーモンに対するパスワード認証の問題です。デフォルトで /usr/local/bin にある SSH Secure Shell クライアントバイナリは、この影響を受けません。SSH Secure Shell for Workstations は、Unix でのみ、限定的な sshd2 サーバ デーモンが含まれているため、sshd2 デーモンが実行されている場合、ワークステーションが問題の影響を受ける可能性があります。SSH Secure Shell 3.0.1 では、Server バージョンと Workstations バージョンの両方でこの問題が修正されています。

ただし、パスワード以外の認証方式を使用していて、かつパスワード認証が無効になっていれば、支障はありません。

I. 説明

パスワード認証時に、/etc/shadow、/etc/password などにある暗号化されたパスワードが含まれているフィールドの長さが 2 文字以下である場合、SSH 3.0.0 では、誰でも任意のパスワードを使用して、該当アカウントにアクセスできます。

バグがあるのは、呼び出し側 crypt(pw, salt) の結果と、/etc/shadow または /etc/password ファイルにある暗号化されたパスワード値を比較するコードにあります。SSH Secure Shell Server 3.0.0 または 3.0.0 デーモンは、crypt() の戻り値に対して、前述のファイルに保存された値の長さ (この場合は2 文字) に連結された、連結文字列の比較を実行します。crypt() の戻り値は 13 文字であり、最初の 2 文字は salt 値そのものです。使用される salt 値は、/etc/shadow または /etc/password にある暗号化されたパスワードの最初の 2 文字です。/etc/shadow にある 2 文字の暗号化されたパスワードと、13 文字の crypt() の戻り値の比較では、最初の 2 文字が /etc/shadow にあるパスワードの 2 文字となります。これらの文字列は一致するので、どのようなパスワードを入力しても、そのパスワードが受け入れられることになります。

II. 影響

SSH Secure Shell 3.0 を実行するデフォルトの固定アカウントを持つ既製のマシンには、不正ログインによる影響を受けるものがあります。たとえば、'lp'、'adm'、 'bin' などの固定された管理アカウントを示すために、シーケンス 'NP' を使用する Solaris などでは、この問題は重大です。xfs や gdm など、etc/passwd または /etc/shadow に !! が含まれたアカウントを持つ一部の Linux マシンも、この問題の影響を受ける可能性があります。特定のアカウントへのアクセス権を得た後に root となるのは比較的容易であるので、root になりすました操作が行われる可能性があるとＳＳＨ社では考えています。

III. 解決方法

好ましい方法：
SSH Secure Shell 3.0.1 にただちにアップグレードしてください。オンラインストアから入手可能です。
他の解決方法：

  • /etc/ssh2/sshd2_config で SSH Secure Shell デーモン (sshd2) に対するパスワード認証を無効にして、公開鍵、SecurID、Kerberos、証明書、スマートカード、ホストベース認証など、他の認証方式を使用してユーザーを認証します。これらの認証方法は、この問題による支障はありません。このような認証方法を有効にする方法については、弊社の SSH Secure Shell サポートページ を参照してください。
  • パスワード認証を完全に無効にできない場合、/etc/passwd および /etc/shadow のエントリが 2 文字を超えるユーザーのみが sshd2 デーモンにアクセスできるように制限します。この操作は、/etc/ssh2/sshd2_config ファイルで AllowUsers、AllowGroups、DenyUsers、および DenyGroups キーワードを使用して行うことができます。詳細については、弊社のの SSH Secure Shell サポートページ および man sshd2_config を参照してください。
  • アカウントごとに有効なパスワードを割り当てます。一部のシステム アカウントにパスワードを割り当てると、問題が発生するオペレーティング システムがあります。そのため、この解決方法は限定的なものとして、最後の手段としてのみ使用してください。
  • ソースコードに以下のパッチを使用します：

    '''

    File /lib/sshsession/sshunixuser.c
    Function ssh_user_validate_local_password
    Location near line 953, before
    /*Authentication is accepted if
    the encrypted passwords are identical. */
    Add lines

    if (strlen(correct_passwd) < 13)
    return FALSE;
    '''

    • IV. 称賛：

    この脆弱性は、ヘルシンキ工科大学の匿名のシステム管理者およびエール大学の Andrew Newman 氏によって発見・報告されました。

    © 2003 SSH Communications Security Corp. All rights reserved. ssh ® は、アメリカ合衆国及びその他の地域において、SSH Communications Security Corp の登録商標です。また、本文中に記載されている製品名は各社もしくは各団体の商標あるいは登録商標です。