sshhole:musl LinuxのOpenSSHに重大な脆弱性
musl系LinuxのOpenSSHに、2016年から存在する脆弱性「sshhole」が判明した。パスワード未設定のアカウントが、256文字超の任意のパスワードを受け入れる。
musl系Linux上のOpenSSHに、「sshhole」と名付けられた重大な脆弱性が見つかった。2016年から存在しており、パスワードで保護されていないアカウントへのアクセスを許す可能性があった。
本来パスワードを必要としないアカウントが、256文字を超えるパスワードを入力されると、それを受け入れてしまう。対象にはroot、SSH鍵のみを使うデプロイ用ユーザー、LDAPユーザー、AWSとAzure向けAlpineイメージの既定ユーザーが含まれる。muslはAlpine、OpenWrt、Buildroot、Yoctoのほか、多くのDockerイメージでも使われている。
影響を受ける条件
次の条件がすべて重なると問題が生じる。
- sshdがAlpine、OpenWrt、Buildroot、Yoctoなどmusl環境で動作している
- PAMを使っていない(AlpineのopenssH-serverパッケージは既定でPAMなし。設定でUsePAM noと指定している場合もある)
- パスワードログインが許可されている(既定で許可)
- パスワードが「*」のアカウントがあり、通常のパスワードを持つ別のアカウントも存在する
この場合、パスワードが「*」のアカウントは、257〜1024文字の任意のパスワードを受け入れる。
AWS・Azure向けAlpineイメージ
AWSとAzure向けの公式Alpineイメージでは、既定ユーザー「alpine」がこの状態にある。このユーザーはdoasでパスワードなしにコマンドを実行でき、事実上rootの権限を持つ。
Debian、Ubuntu、Fedoraなどglibcを使うディストリビューションは影響を受けない。PAMを設定している場合や、dropbear、OpenBSD版OpenSSHを使っている場合も安全だ。
この問題はopenssh 10.6p2で修正された。該当環境の管理者は更新を適用する必要がある。
注目のアプリ
SUMO：数字パズル正しいマスを選んで足し算、目標の数に。覚えるのは簡単、極めるのは難しい。無料、全年齢向け。
Dialo：話して学ぶ語学アプリAIの会話パートナーと話すだけ。一文ごとに添削され、あなたの言語で解説が返ってきます。9言語、A1からC2まで。
ediviewer：EDIファイルを文書のように読むEDIFACTやX12メッセージを開き、各セグメントの意味を表示。JSON/XML変換、PDF・Excel出力。ローカルで動作、アップロード不要。
giftdetect：数分でぴったりの贈り物相手、シーン、性格を選ぶだけ。検索エンジンが地元ショップの商品説明を読み、合うものを並べます。無料、登録不要。
