regreSSHionについて

The vulnerability, which is a signal handler race condition in OpenSSH’s server (sshd), allows unauthenticated remote code execution (RCE) as root on glibc-based Linux systems; that presents a significant security risk. This race condition affects sshd in its default configuration.

概要

OpenSSH sshdというほぼすべてのLinuxサーバーにインストールされ、頻繁に使用されるSSHのサーバープログラム(sshd)に脆弱性(CVE-2024-6387)が発見されました。

OpenSSH Vulnerability: CVE-2024-6387 FAQs and Resources | Qualys

2006年に修正された同じ sshd に関するCVE-2006-5051の回帰(regression)バグであることから、この脆弱性には “regression” と同じ発音で綴りに “SSH” を含めた regreSSHion という名前がつけられました。

シグナルハンドラの競合状態(CWE-364)に分類される脆弱性です。

regreSSHion の詳細は、以下のリンクをご確認ください

CVEとは?

CVE(Common Vulnerabilities and Exposures)は脆弱性を一意な名前・IDで管理。

The mission of the CVE® Program is to identify, define, and catalog publicly disclosed cybersecurity vulnerabilities.

https://www.cve.org/About/Overview

今回見つかったOpen sshdの脆弱性の場合、regreSSHion という名前と CVE-2024-6387 という管理番号が割り振られています。

CVEの取り組みにより、sshdの開発者もsshdを配布するベンダーもサーバーの運用者もCVE IDで会話できます。

参考