OpenSSHとAlpine Linux、ニッチだが深刻なバグに警告

何が起きたのか

OpenSSH チームが、重大なバグについて警告しました。このバグは、いくつかの少し珍しい環境だけに出ます。対象は、musl C ライブラリを使い、パスワードログインに PAM（Pluggable Authentication Modules）を使わない Linux システムです。これらのシステムでは、パスワードの確認が省かれるおそれがあります。その結果、攻撃者はパスワードを知らなくてもログインできる可能性があります。OpenSSH の開発者 Damien Miller さんは、こうした環境の利用者に、すぐにパスワードログインを止めるか、当面は SSH を完全に無効にするよう呼びかけました。Alpine Linux も対象で、開発者も同じ警告を出しています。修正版は OpenSSH 10.6p2 で、本日公開されました。

主な数字と事実

• 修正版：OpenSSH 10.6p2（本日公開）
• 影響を受けるのは OpenSSH 10.6p1 など。多くの他のディストリビューションやダウンロードサーバーでは、まだこの版が配布されています。
• Alpine Linux はすでに更新版を提供しています。
• 暫定対策：PasswordAuthentication を no に設定し、sshd を再起動する。

用語の説明

SSH は、ネットワーク越しにコンピューターへログインし、コマンドを実行できる道具です。ログインにはパスワードか SSH 鍵を使えます。PAM は、Linux でログインの確認を行う部品の集まりです。musl は、一部の Linux（Alpine Linux など）で使われる、標準 C ライブラリの小型な代わりのものです。

なぜ重要なのか

このバグは、パスワードを知らない攻撃者がサーバーに入れてしまう可能性があります。OpenSSH 側は、原因は OpenSSH 自体ではないとしています。それでも急いで新版を出しました。問題は昨日見つかり、AI セキュリティ企業 Wakefield の担当者が報告しました。開発者は、AI の助けを借りて他の人も近く同じバグを見つけるかもしれないと心配しています。こうした事例は最近も何度か起きています。影響を受ける環境の利用者は、早く更新し、それまでパスワードによる SSH ログインを止めるべきです。一般に、SSH 鍵のほうが安全な選び方です。

今後の注目点

• 他の Linux ディストリビューションが、いつ OpenSSH 10.6p2 を配布するか。
• 攻撃者が実際にこのバグを悪用し始めるかどうか。
• 原因が OpenSSH の外にもあるかどうか。