MiracleLinux 4openssh-5.3p1-104.AXS4AXSA:2014-596:02
medium Nessus プラグイン ID 291469
Language:
概要
リモート MiracleLinux ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの MiracleLinux 4 ホストには、AXSA:2014-596:02 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。説明：
SSH (Secure SHell) は、 にログインし、リモートマシンでコマンドを実行するためのプログラムです。SSH は、rlogin および rsh を置換し、セキュアでないネットワーク上の信頼できない 2 つのホスト間で、安全な暗号化通信を提供することを目的としています。 X11 接続および任意の TCP/IP ポートも、安全なチャネルで転送できます。
OpenSSH は、SSH の最終の解放バージョンの OpenBSD のバージョンで、セキュリティと機能に関して最新の状態になっています。
このパッケージには、OpenSSH クライアントとサーバーの両方に必要なコアファイルが含まれています。このパッケージを役立つようにするには、openssh-clients、openssh-server、またはその両方をインストールする必要があります。
このリリースで修正されたセキュリティ問題
CVE-2014-25326.6 より前の OpenSSH での sshd は、sshd_config の AcceptEnv 行にあるワイルドカードに適切に対応しません。これにより、リモートの攻撃者が、ワイルドカード文字の前に配置されているサブ文字列を使用することによって、意図された環境制限をバイパスすることができます。
CVE-2014-2653 OpenSSH 6.6 およびそれ以前のクライアントにおいて、sshconnect.c 内の verify_host_key 関数により、リモートのサーバーは、受け入れられない HostCertificate を提示することで、SSHFP DNS PR チェックをスキップすることを誘発する可能性があります。
修正されたバグ：
* SP800-131A 情報セキュリティ基準に基づいて、キーサイズが 1024 ビットのデジタル署名アルゴリズムDSAとキーサイズが 2048 ビット未満の RSA を使用したデジタル署名の生成は、2013 年以降許可されていません。この更新で、 はこれを修正しました。
* 以前は、openssh ユーティリティが、すべての子プロセスに対する oom_adj 値を -17 に不適切に設定していました。子プロセスではこの値を 0 に設定することが想定されていたため、この動作は正しくありませんでした。この更新では でこれが修正されました。
* 以前は、sshd サービスが fipscheck ライブラリを使用するインストール済みの FIPS モジュールのチェックサムの検証に失敗した場合、この失敗に関する情報は sshd の標準エラー出力にしか表示されていませんでした。そのため、ユーザーがこのメッセージに気付き、システムが FIPS モードに対して適切に構成されていない場合に、情報を得ることができませんでした。この更新で、 はこれを修正しました。
* pkcs11 ライブラリから提供されたキーが、ssh-add -e コマンドを使用している ssh エージェントから削除された場合、ユーザーは PIN の入力を求められました。この更新で、 はこれを修正しました。
強化：
* この更新により、ControlPersist が OpenSSH に追加されました。ControlMaster の構成ディレクティブと併用されるオプションでは、初期のクライアント接続が切断された後に、マスター接続がバックグラウンドで維持されることが指定されています。
* sshd デーモンが内部 SFTP セッションを強制的に実行するよう構成され、ユーザーが SFTP 以外の接続を利用しようとする場合、適切なメッセージが /var/log/secure ファイルにログされます。
* RFC5656 によって指定された、キー交換のための楕円曲線暗号（ECDH）およびホストユーザーキーの楕円曲線暗号（ECDSA）のモードのサポートが、openssh パッケージに追加されました。しかし、デフォルトでは有効となっていないため、ユーザーは手動で有効化を行う必要があります。
Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるパッケージを更新してください。参考資料
プラグインの詳細
深刻度: Medium
ID: 291469
ファイル名: miracle_linux_AXSA-2014-596.nasl
バージョン: 1.1
タイプ: local
公開日: 2026/1/19
更新日: 2026/1/19
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.4
Vendor
Vendor Severity: High
CVSS v2
リスクファクター: Medium
基本値: 5.8
現状値: 4.5
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N
CVSS スコアのソース: CVE-2014-2653
CVSS v3
リスクファクター: Medium
基本値: 4.9
現状値: 4.4
ベクトル: CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:N
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS スコアのソース: CVE-2014-2532
脆弱性情報
CPE: cpe:/o:miracle:linux:4, p-cpe:/a:miracle:linux:openssh-server, p-cpe:/a:miracle:linux:openssh-askpass, p-cpe:/a:miracle:linux:openssh-clients, p-cpe:/a:miracle:linux:openssh
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2014/10/16
脆弱性公開日: 2014/3/18
参照情報
CVE: CVE-2014-2532, CVE-2014-2653