読者です 読者をやめる 読者になる 読者になる

Opensourcetechブログ(ZeusITCamp裏BLOG)

オープンソース技術 開発研究所による主にオープンソースに関するブログです。

OpenSSHクライアントコードの脆弱性( CVE-2016-0777)

 

こんにちは、オープンソース技術 開発研究所鯨井貴博です音譜

 f:id:opensourcetech:20150701113104j:plain

 

先日、OpenSSHのクライアントコードに脆弱性があることが発表されました。

脆弱性内容は、以下となります。

 

脆弱性内容

-------

OpenSSHクライアントコード(ソフトウェアバージョン5.4~7.1p1)にて、

実験的にSSH接続のローミング(再開)機能が実装されており、

デフォルトで有効になっている事を利用し、

悪意のあるサーバーを利用する事で秘密鍵を含んだクライアントのメモリ内容をそのサーバーに流出させる可能性があった。

 

対応策

-------

・7.1p2へのアップデート
・アップデートが難しい場合、UseRoaming機能の無効化
The vulnerable code in the client can be completely disabled by adding 'UseRoaming no' to the global ssh_config(5) file, or to user configuration in ~/.ssh/config, or by passing -oUseRoaming=no on the command line.
 from https://www.kb.cert.org/vuls/id/456088

 

 

以下、関連情報です。

JVNVU#95595627: OpenSSH のクライアントに複数の脆弱性

Vulnerability Note VU#456088 - OpenSSH Client contains a client information leak vulnerability and buffer overflow

http://www.openssh.com/txt/release-7.1p2

OpenSSHのクライアントコードに情報流出の脆弱性、秘密鍵が流出する恐れも -INTERNET Watch

 

 

 

オープンソース技術 開発研究所

 f:id:opensourcetech:20150701113104j:plain

 

にほんブログ村 IT技術ブログ Linuxへ
Linux

にほんブログ村 IT技術ブログ オープンソースへ
オープンソース

footerのテストです