2007年3月31日にOpenSSHの脆弱性情報が公開されました。
対応が必要か検討してください。
------------ 本脆弱性情報は、同時期に公開された複数の脆弱性について、まとめて解説したものです。タイトル以外の他の脆弱性情報の内容が含まれていますので予めご了承ください。 ------------ OpenSSH Project より配布されている OpenSSH 3.7 (Portable 版 OpenSSH 3.7p1) 以前には、バッファの管理に不備が存在します。 リモートの攻撃者により、バッファの解放時に近接した他の領域も解放されるような意図的な長さのパケットを受信した場合、ヒープ領域が破壊される可能性が存在します。 この問題を利用するリモートの攻撃者は、結果として sshd をサービス不能状態に陥らせる可能性があり、また、任意のコードの実行も示唆されています。 尚、問題が存在するルーチンは OpenSSH の初期のリリースから利用されているため、同様のルーチンを利用している他の SSH の実装も影響を受ける可能性があります。 SSH Secure Shell/Ciso IOS に関しては、この問題の影響を受けないことがベンダより報告されています。 また、F-Secure SSH に関しては、1.3.14 (for Unix) 以前が影響を受け、2.x 以降は影響を受けないことがベンダより報告されています。 当初この問題 (CAN-2003-0693) は buffer.c 内の buffer_append_space() 関数に発見され、OpenSSH 3.7p1 で解消されました。 しかし、その後、同様の問題が他の箇所にも発見されため、この問題を解消する OpenSSH 3.7.1p1 がリリースされています。(CAN-2003-0695) さらに、上記の問題とは異なるメモリ管理に関する問題 (CAN-2003-0682) も報告されており、この問題は OpenSSH 3.7.1p2 にアップデートすることで解消可能です。 尚、Red Hat Linux に関しては、ベンダより 2003 年 9 月 17 日付けで公開されたアドバイザリ (RHSA-2003:279-17) で示された RPM パッケージへのアップデート、Turboinux に関しては、ベンダより 2003 年 9 月 24 日付で公開されたアドバイザリ (TLSA-2003-53) で示されたパッケージへのアップデートにより、これら全ての問題 (CAN-2003-0682/CAN-2003-0693/CAN-2003-0695) を解消することが可能です。
製品：OpenSSH
企業：OpenBSD
CVSS v2
CVSS v3

参考：CVSSの深刻度レベル

スコア	CVSS v2	CVSS v3
9.0～10.0	危険	緊急
7.0～8.9	危険	重要
4.0～6.9	警告	警告
0.1～3.9	注意	注意
0	注意	なし

JVN JVNDB-2003-000271
https://jvndb.jvn.jp/ja/contents/2003/JVNDB-2003-000271.html
JVN JVNCA-2003-24
http://jvn.jp/cert/JVNCA-2003-24
JVNTR TRCA-2003-24
http://jvn.jp/tr/TRCA-2003-24
CVE CVE-2003-0682
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2003-0682
NVD CVE-2003-0682
http://nvd.nist.gov/nvd.cfm?cvename=CVE-2003-0682
JPCERT-WR JPCERT-WR-2003-3801
http://www.jpcert.or.jp/wr/2003/wr033801.txt
CERT-A CA-2003-24
http://www.cert.org/advisories/CA-2003-24.html
CERT-VN VU#333628
http://www.kb.cert.org/vuls/id/333628
CIAC N-151
http://www.ciac.org/ciac/bulletins/n-151.shtml
BID 8628
http://www.securityfocus.com/bid/8628
ISS 13214
http://xforce.iss.net/xforce/xfdb/13214
ISS 13191
http://xforce.iss.net/xforce/xfdb/13191
ISSKK OpenSSH メモリ破損の脆弱性
http://www.isskk.co.jp/support/techinfo/general/OpenSSH144.html
登録日
2007/03/31 15:00:00
最終更新日
2007/03/31 15:00:00
もっと見る >>