OpenSSHの欠陥に攻撃、囮サーバーでroot取得と報道

やること

11月5日に伝えた OpenSSH の欠陥に、実際の攻撃が観測されたと報じられました。Alpine Linux など musl を使う Linux で sshd（SSH の接続を受けるプログラム）を動かしている場合は、次の3つを済ませてください。

• パッケージを修正版に更新し、sshd を再起動してください。フランスの CERT-FR も11月6日に注意書きを足し、更新や設定の変更には再起動が欠かせないとしています
• すぐに更新できない場合は、パスワードのログインを止めるか、SSH を止めてください
• 修正の前にインターネットから SSH のポートへ届いていた機械は、ログインされていないかを調べてください

Ubuntu や Debian など glibc を使う Linux は、この欠陥の対象外です。

何が起きたのか

Help Net Security の11月6日の記事によると、攻撃を観測したのは脅威情報を扱う Previdian です。同社の創業者は、CVE の公開から9時間足らずで最初の試みが届いたと説明しています。本物の Alpine と OpenSSH を動かす囮のサーバー（ハニーポット）では、root の権限まで取られたことを確認したとしています。

攻撃者は長すぎるパスワードを送ってログインし、id、uname、hostname などのコマンドを実行して、機械の情報を調べました。記事の時点の試みは8回です。いずれも日本にある同じ IP アドレスから来ていて、同社の1台のセンサーが捉えたものです。

この件の情報は1社の観測を伝える報道で、Previdian 自身の発表は確認できていません。CISA の悪用確認の一覧（KEV）の11月6日版には載っていません。CVE の記録で CISA が付けた評価は、11月5日の時点のまま、実証コードがある段階（poc）です。同社は自社の悪用確認の一覧には載せたと報じられています。

11月5日の記事を書いた時点では、悪用の報告は見つかっていませんでした。攻撃の範囲を示す数字はこの1社の8回のほかに出ていません。

Help Net Security は、実証コードが GitHub に公開されていることも伝えています。Previdian は、未検証で不正なプログラムが入っている場合があると注意しています。

ログインされていないかの確認

CERT-FR は発見者の案内として、/etc/shadow でパスワード欄が「*」のアカウントを洗い出し、それぞれについて正当なログインかを確かめる方法を載せています。Alpine は /var/log/messages で Accepted password for の記録を探すよう案内しています。パスワードを持たないはずのアカウントにこの記録があれば、不正なログインを疑ってください。

あわせて doas の利用、最近作られたユーザー、認証用の鍵の追加を見てください。ログインがなかったと言い切れないときは、その機械は侵害されたものとして扱うよう Alpine は求めています。ログを残していないコンテナや、すでに消えたコンテナは調べられないので、作り直すときは修正版のイメージを使ってください。

対象

対象の条件は変わっていません。musl の上で動く sshd が PAM を使っておらず、パスワードのログインが有効で、パスワード欄が「*」のアカウントと、ハッシュを持つ別のアカウントが同じ機械にある場合です。詳しくは11月5日の記事にあります。

Alpine のほかに、発見者は OpenWrt、Buildroot、Yocto も確かめるべきものに挙げています。多くの Docker イメージが Alpine をもとにしているとも説明しています。ただし、Alpine によると sshd を動かしていないコンテナは対象外です。Synology は、自社の製品は影響を受けないと11月6日に公表しました。

中小企業が確かめること

Alpine を選んだ覚えがなくても、委託先が作ったコンテナのもとになっていることがあります。外部に SSH を開けているサーバーの一覧を作り、OS の種類を確かめてください。パスワードのログインが要らないサーバーは、この機会に鍵のログインだけにすると、同じ種類の欠陥の影響を受けにくくなります。