# オープニング #投資での一番の失敗 どうもー セキュリティジャッキーの松野です。6回目のセキュリティ会社企業を目指して サイバーセキュリティの最新ニュースについて解説しております。 っていうことでね、今日は投資での一番の失敗に関する話なんですけども そうですね、あまり投資で成功した記憶がない感じではあるわけなんですけども どうですかね、皆さんどういった印象を僕に対して抱いていただけというか、ちょっと分かりかねるところもあるんですけれども 割とですね、人生全般としてギリギリでやらさせていただいているところが多々ありまして そんなところもあってですね、投資にはおそらくこの生き方は向いてないかなというふうに自覚しています いわゆる余裕を持ってですね、取り組まないと投資はなかなか成功しないんじゃないかなというふうに思ってまして よく言われているのがですね、投資で一番成功した人はすでにお亡くなりになられた方と 2番目の成功者はですね、投資したことを忘れた人みたいな いわゆるですね、その投資に対して執着せずに忘れてしまうくらいですね 余裕が持っている方が成功するということですよね ですから僕のようにですね、ギリギリの状態で投資をしてもですね やっぱりちょっと下がったりですとか調子が悪い時にですね 我慢ができないというか損切りしてしまうということですよね 経営というかですね、会社でしたらそこをもう本当に歯を食い縛って乗り越えるみたいなことはできるわけなんですけども どうしてもですね、ただお金を出しているだけみたいな、そんな状況ですと もはや耐えられないということになってしまうのかなというところですね こういった性格どうでしょうね、セキュリティに本当に向いているのかなと 自分自身ちょっと心配になることもあるわけなんですけども まずはですね、投資はしっかりとですね、余裕を持って取り組むべきなんじゃないかなというふうに思っております ある意味セキュリティとも共通するとこあるんじゃないかなというふうに思っていまして セキュリティもですね、投資もご利用は計画的にという感じでしょうか ということで今回はOpenSSHに見つかった脆弱性について取り上げております この放送を通じてリスナーの皆さんは自分の環境は大丈夫なのか 対策として何をすれば良いのかについて理解を深めていただければと思います それではどうぞ # musl版Linux上のOpenSSHに、257文字以上の長いパスワードでパスワード無効アカウントにログインできてしまう脆弱性 マッスル版Linux上のOpenSSHに257文字以上の長いパスワードで パスワード無効アカウントにログインできてしまう脆弱性 Alpine Linuxなどマッスルを使うLinux上のOpenSSHでパスワードを持たないはずのアカウントが 257文字以上の長いパスワードを受け入れてしまう問題が公表された 2016年から存在しOpenSSH 10.6 P2で修正されたとされた こちらの記事を簡単に解説お願いできますでしょうか はい。Alpine LinuxやOpenWrtなどマッスルというライブラリを使うLinuxで動くOpenSSHに 2016年から存在した問題が公表されました root、鍵認証専用のユーザー、LDAPユーザーなどパスワードでは入れないはずのアカウントが 256文字を超える長いパスワードを受け入れてしまいます 影響を受けるのはマッスルの上で動き、PAMを使わずパスワードログインが有効で パスワードを持たないアカウントと通常のパスワードを持つアカウントの両方がある環境です 対策はOpenSSH 10.6 P2への更新です 更新できない場合はパスワードログインを無効にします 記事にはCVE番号は示されていません パスワードがないアカウントになぜ入れてしまうのですか はい仕組みはこうです パスワードがないアカウントはパスワード欄にアスタリスクという印が入っており どんなパスワードのハッシュとも一致しないはずです ところがマッスルはパスワードの変換に失敗するとアスタリスクを返す作りでした また変換の負荷を防ぐため256バイトを超えるパスワードは失敗にします 長いパスワードを入れると失敗のアスタリスクと何のアスタリスクが一致し通ってしまうという流れです 2016年の修正が関係していると聞きましたがどういうことですか はい2016年に存在しないユーザーかどうかを応答時間で見分けられる問題がありました その修正として ssshd は別のアカウントの情報を借りてハッシュ計算をするようになりました この計算の結果が長いパスワードの時に失敗しアスタリスクになります 過去の修正や別の仕様がそれぞれは正しくても組み合わさると予想外の穴になる例です ただし細かい挙動は記事の説明に基づくものです 記事によるとオープン ssh の主な試験はオープン bsd やジリブシーの環境で行われ マッスルの環境では ssshd の試験が行われていませんでした 確認の手が届きにくい組み合わせに穴が残っていたと考えられます どんな環境が実際に危険なのでしょうか はいアルパインの aws とアジュアの公式イメージでは標準のアルパインユーザーが該当します このユーザーはパスワードなしで管理者権限のコマンドを実行できるため 結果的にルートと同じ権限を得られます 一方デビアンうぶんとゥフェドラなどを使う環境やパム経由の環境 ドロップベアーオープン bsd は影響を受けないと説明されています ご自身の環境がどちらに当たるかの確認が第一歩です 具体的に私たちは何をすれば良いのでしょうか はいまずオープン ssh 10.6 p 2に更新してください アルパインなら apk のアップグレードで更新できます すぐに更新できない場合は設定ファイルでパスワードをセンティケーションを脳にしてパスワード ログインを止めます その上で ssh d を再起動します 鍵認証だけにすれば今回の穴は使えません 設定を変えた後は実際にパスワードで入れなくなったか 別の端末から試して確認すると安心です 作業の際は現在の接続を切らずに別の接続で試しましょう またすでに侵害された可能性が気になる場合は記事が案内するギットハブの確認方法を 参考にログを確認しましょう この件からどんなことを学べますか はい長年見つからなかった脆弱性が突然見つかることがあるという点です 今回は複数の使用や修正が重なって生じました そしてパスワードログインを必要としないなら無効にする設定が効果的な備えになります さらに軽量なコンテナ用のイメージを使う場合も規定の設定やユーザーを確認することが 大切です公式のイメージだから安全と思い込まないようにしましょう また鍵認証専用のユーザーであってもパスワード欄の扱いが思わぬ形で影響することが あります 使っていない認証方法は無効にして攻撃の理屈を減らすのが基本です なるほどマッスル上のオープン ssh ではパスワードのないアカウントが長いパスワードで入れて しまうため 10.6 p 2への更新かパスワードログインの無効化が大切だと分かりました また一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、OpenSSHに見つかった脆弱性ということでした。 エンジニアの方であればですね、一度扱ったことがあるのではないでしょうか。 このSSHはリモートからサーバーを操作するためのものですので、 この脆弱性が供用されるとですね、非常にその影響が大きいということになります。 今回そのCVSSがMITREが発表したものに関しては8.1ということでした。 もちろん8.1自体はですね、低くはないわけなんですけども、 PHP to SHELLだったり、あとはHTTP to SHELLだったりですね、 そういったものと比較すると相対的には低いということになります。 最近このCVSSがですね、計算した主体、今回はMITREになるわけなんですけども、 その組織によって若干ズレが生じているというところがあります。 今回ですね、OSだったりライブラリだったり、あとはそれに加えてOpenSSHのバージョンが条件を満たす必要があります。 この条件がですね、多いということでMITREはCVSSのベクトルで攻撃な印度を示すACですね、 これがハイと、つまり攻撃な印度が高いというふうにしていると推測されるんですけれども、 Amazon Linuxですね、彼らが発表したCVSSのスコアは9.8でした。 ACはロー、つまり攻撃な印度は低いとされています。 セキュラジでは以前よりこのACのベクトルに注目してもらいたいということについてお伝えしていましたが、 今回もそのあたりが大きく影響してきそうです。 結論として、CVSSのスコアだけを見ずに意外と数条件が起こるうちの方は、 直ちにアップデートを検討してくださいますようお願いいたします。 今日の10分セキュリティラジオは、月曜から土曜に逐日も休まず配信しております。 それではまた、明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you.