Helsinki, Finland -
2005年 6月 30日
Windows 版 SSH Tectia Server 秘密鍵アクセス許可に関する脆弱性
SSH Communications Security >> http://www.ssh.com
======================================================
[Windows 版 SSH Tectia Server 秘密鍵アクセス許可に関する脆弱性]
2005年6月30日
======================================================
Vendor reference number: RQ #11775
SSH Tectia Server の Windows 版 がホスト鍵(Secure Shell ホスト鍵)を生成するとき、不適切なアクセス許可をファイルに設定します。この結果、サーバーに認証されローカルファイルシステムにアクセス可能なすべてのユーザーは、管理者権限なしにWindows サーバーのホスト鍵 (Secure Shell ホスト鍵)にアクセスが可能になります。
さらに、このユーザーはサーバーのホスト鍵をコピーし、他のホストにインストールすることでオリジナル™ホストになりすますことが可能です。サーバーでの認証がパスワードのみに頼っていた場合、パスワードの収集に使用される可能性を秘めています。この手法には不正なサーバーへ誘導するためにオリジナル™サーバーへの接続が必要なため、ネットワークに対するほかの攻撃も必要です。
この脆弱性による攻撃は現在まで確認されておりません。
* SSH Secure Shell for Windows Server (すべてのバージョン)
* SSH Tectia Server (Windows) 4.3.1 およびそれ以前のバージョン
SSH Tectia Server 4.3.2 では秘密鍵のアクセス許可を所有者とシステム™アカウントのみが読み込み可能に変更することでこの脆弱性を修正しています。すでに存在する秘密鍵のアクセス許可はソフトウェアのアップデート時に変更され、新しい秘密鍵を生成するときには、適切なアクセス許可が設定されます。
他の方法としては、ホスト鍵ファイルを管理者グループのみが読み込み可能に設定することもできます。ホスト鍵の非公開部分はデフォルトでは下記に置かれます。
C:\Program Files\SSH Communications Security\SSH Secure Shell Server\hostkey
このファイルのデフォルトの場所はサーバー設定によって変更されている場合があります。
SSH Tectia Server ソフトウェアのアップデート又はアクセス許可の手動更新のどちらの方法
をとった場合でも、全ての古いWindows サーバ鍵の更新を強く勧めます。
SSH Tectia Server 4.3.2 へのアップデートでは鍵は自動的には更新されません。サーバ鍵
を更新すると、クライアントがサーバーに接続したときに警告メッセージが表示されることと、鍵
のハッシュ値を確認する必要があることにご注意ください。
SSH Tectia Server 4.3.x のライセンスを購入いただいたお客様は下記よりアップデート™パッケージがダウンロードできます。
http://www.ssh.com/support/downloads/tectia-server/updates-and-packages-4-3.html
ＳＳＨ コミュニケーションズ™セキュリティは、この脆弱性によりお客様にご迷惑をおかけしたことをお詫びいたします。私どもはお客様のシステムのセキュリティを真剣に考えており、欠陥の無いセキュリティ™ソフトウェアを提供することに全力を尽くしております。すべてのお客様にこの脆弱性の潜在的な重要性を慎重に考慮していただき、アップデートの是非について賢明な判断をされることをお勧めいたします。
======================================================
[Windows 版 SSH Tectia Server 秘密鍵アクセス許可に関する脆弱性]
2005年6月30日
======================================================
Vendor reference number: RQ #11775
詳細
SSH Tectia Server の Windows 版 がホスト鍵(Secure Shell ホスト鍵)を生成するとき、不適切なアクセス許可をファイルに設定します。この結果、サーバーに認証されローカルファイルシステムにアクセス可能なすべてのユーザーは、管理者権限なしにWindows サーバーのホスト鍵 (Secure Shell ホスト鍵)にアクセスが可能になります。
さらに、このユーザーはサーバーのホスト鍵をコピーし、他のホストにインストールすることでオリジナル™ホストになりすますことが可能です。サーバーでの認証がパスワードのみに頼っていた場合、パスワードの収集に使用される可能性を秘めています。この手法には不正なサーバーへ誘導するためにオリジナル™サーバーへの接続が必要なため、ネットワークに対するほかの攻撃も必要です。
この脆弱性による攻撃は現在まで確認されておりません。
影響を受ける製品
* SSH Secure Shell for Windows Server (すべてのバージョン)
* SSH Tectia Server (Windows) 4.3.1 およびそれ以前のバージョン
修正/対応方法
SSH Tectia Server 4.3.2 では秘密鍵のアクセス許可を所有者とシステム™アカウントのみが読み込み可能に変更することでこの脆弱性を修正しています。すでに存在する秘密鍵のアクセス許可はソフトウェアのアップデート時に変更され、新しい秘密鍵を生成するときには、適切なアクセス許可が設定されます。
他の方法としては、ホスト鍵ファイルを管理者グループのみが読み込み可能に設定することもできます。ホスト鍵の非公開部分はデフォルトでは下記に置かれます。
C:\Program Files\SSH Communications Security\SSH Secure Shell Server\hostkey
このファイルのデフォルトの場所はサーバー設定によって変更されている場合があります。
SSH Tectia Server ソフトウェアのアップデート又はアクセス許可の手動更新のどちらの方法
をとった場合でも、全ての古いWindows サーバ鍵の更新を強く勧めます。
SSH Tectia Server 4.3.2 へのアップデートでは鍵は自動的には更新されません。サーバ鍵
を更新すると、クライアントがサーバーに接続したときに警告メッセージが表示されることと、鍵
のハッシュ値を確認する必要があることにご注意ください。
SSH Tectia Server のアップデート
SSH Tectia Server 4.3.x のライセンスを購入いただいたお客様は下記よりアップデート™パッケージがダウンロードできます。
http://www.ssh.com/support/downloads/tectia-server/updates-and-packages-4-3.html
ＳＳＨ コミュニケーションズ™セキュリティは、最高のセキュリティを目指します
ＳＳＨ コミュニケーションズ™セキュリティは、この脆弱性によりお客様にご迷惑をおかけしたことをお詫びいたします。私どもはお客様のシステムのセキュリティを真剣に考えており、欠陥の無いセキュリティ™ソフトウェアを提供することに全力を尽くしております。すべてのお客様にこの脆弱性の潜在的な重要性を慎重に考慮していただき、アップデートの是非について賢明な判断をされることをお勧めいたします。
© 2005 SSH Communications Security Corp. All rights reserved. ssh® is a registered trademark of SSH Communications Security Corp in the United States and in certain other jurisdictions. All other names and marks are property of their respective owners.