RHEL 6：openssh（RHSA-2014:1552）

medium Nessus プラグイン ID 78413

言語:

概要

リモート Red Hat ホストに 1 つ以上のセキュリティ更新がありません。

説明

2 つのセキュリティの問題と複数のバグを修正し、様々な拡張機能を追加する更新済みの openssh パッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

OpenSSH は、OpenBSD の SSH（Secure SHell）プロトコルの実装です。これらのパッケージには、OpenSSH クライアントとサーバーの両方に必要なコアファイルが含まれています。

OpenSSH クライアントが DNS SSHFP レコードを適切に検証していないことがわかりました。悪意あるサーバーが、この欠陥を利用して、クライアントに強制的に DNS SSHFP レコードのチェックをスキップさせ、ユーザーに DNS SSHFP レコードのホスト検証を手動で実行することを要求する可能性があります。
（CVE-2014-2653）

OpenSSH が、ワイルドカード文字のある特定の AcceptEnv パラメーター値を適切に処理していないことが見つかりました。リモートの攻撃者が、この欠陥を利用して、本来守られるべき環境変数制限をバイパスする可能性があります。
（CVE-2014-2532）

この更新は以下のバグも修正します：

* SP800-131A 情報セキュリティ基準に基づいて、キーサイズが 1024 ビットのデジタル署名アルゴリズム（DSA）とキーサイズが 2048 ビット未満の RSA を使用したデジタル署名の生成は、2013 年以降許可されていません。この更新後、ssh-keygen は FIPS モードによる 2048 ビット未満のキーの生成を実行しません。しかし、互換性の理由により、sshd サービスは 1024 ビット以上のキーを許可しています。（BZ#993580）

* 以前は、openssh ユーティリティが、すべての子プロセスに対する oom_adj 値を
-17 に不適切に設定していました。子プロセスのこの値は 0 で設定されることを想定していたため、この動作は不適切でした。この更新は、パッチを適用してこのバグを修正します。このため、現在は、全ての子プロセスに対する oom_adj 値が意図していた通りに 0 に適切に設定されています。（BZ#1010429）

* 以前は、sshd サービスが fipscheck ライブラリを使用するインストール済みの FIPS モジュールのチェックサムの検証に失敗した場合、この失敗に関する情報は sshd の標準エラー出力にしか表示されていませんでした。そのため、システムが FIPS モードに対して適切に構成されていない場合、ユーザーがこのメッセージに気づかず、何も通知されない可能性があります。このバグを修正するために、この動作は変更され、現在は、sshd がこのようなメッセージを syslog サービス経由で送信しています。（BZ#1020803）

* pkcs11 ライブラリから提供されたキーが、「ssh-add -e」コマンドを使用している ssh エージェントから削除された場合、ユーザーは PIN の入力を求められました。この更新によって、パッチが適用され、ユーザーはPIN を入力せずに pkcs11 から提供されたキーの削除を行うことができます。（BZ#1042519）

また、この更新は以下の拡張機能も追加します：

* この更新により、ControlPersist が OpenSSH に追加されました。ControlMaster の構成ディレクティブと併用されるオプションでは、初期のクライアント接続が切断された後に、マスター接続がバックグラウンドで維持されることが指定されています。（BZ#953088）

* sshd デーモンが内部 SFTP セッションを強制的に実行するよう構成され、ユーザーが SFTP 以外の接続を利用しようとする場合、適切なメッセージが /var/log/secure ファイルにログされます。
（BZ#997377）

* RFC5656 によって指定された、キー交換のための楕円曲線暗号（ECDH）およびホストユーザーキーの楕円曲線暗号（ECDSA）のモードのサポートが、openssh パッケージに追加されました。しかし、デフォルトでは有効となっていないため、ユーザーは手動で有効化を行う必要があります。OpenSSH による ECDSA および ECDH の構成方法の詳細については、次を参照してください：
https://access.redhat.com/solutions/711953（BZ#1028335）

openssh のすべてのユーザーには、これらの更新済みパッケージにアップグレードすることを、推奨します。これには、これらの問題を修正し、これらの強化を追加する、バックポートされたパッチが含まれています。

ソリューション

影響を受けるパッケージを更新してください。

関連情報

https://access.redhat.com/solutions/711953

https://access.redhat.com/errata/RHSA-2014:1552

https://access.redhat.com/security/cve/cve-2014-2532

https://access.redhat.com/security/cve/cve-2014-2653

プラグインの詳細

深刻度: Medium

ID: 78413

ファイル名: redhat-RHSA-2014-1552.nasl

バージョン: 1.20

タイプ: local

エージェント: unix

公開日: 2014/10/14

更新日: 2021/1/14

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent

リスク情報

VPR

リスクファクター: Medium

スコア: 4.5

CVSS v2

リスクファクター: Medium

Base Score: 5.8

Temporal Score: 4.3

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N

CVSS v3

リスクファクター: Medium

Base Score: 4.9

Temporal Score: 4.3

ベクトル: CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:N

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:redhat:enterprise_linux:openssh, p-cpe:/a:redhat:enterprise_linux:openssh-askpass, p-cpe:/a:redhat:enterprise_linux:openssh-clients, p-cpe:/a:redhat:enterprise_linux:openssh-debuginfo, p-cpe:/a:redhat:enterprise_linux:openssh-ldap, p-cpe:/a:redhat:enterprise_linux:openssh-server, p-cpe:/a:redhat:enterprise_linux:pam_ssh_agent_auth, cpe:/o:redhat:enterprise_linux:6

必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2014/10/13

脆弱性公開日: 2014/3/18

参照情報

CVE: CVE-2014-2532, CVE-2014-2653

BID: 66355, 66459

RHSA: 2014:1552