OpenSSHに重大な脆弱性、世界約1,400万台のサーバーがリモートから乗っ取りの恐れ

脆弱性は2006年に発見・対策されていましたが、2020年にバージョン8.5p1でこの脆弱性が復活(レグレッション)したことから、「regreSSHion」と命名されています。

RHELでは、バージョン9のrpmパッケージのみ影響を受ける(8以前では影響を受けない)とのことで、またRocky Linux・Almalinux・Oracle Linux等の派生ディストリビューションにおいては、それぞれ大元のRHELに先立って独自のセキュリティアップデートがリリースされています(現時点ではRHEL 9でも対策済みです)。

SSHは主にLinuxサーバーをリモートから管理する目的で利用されることから、世界中の攻撃者が日々サービスポート(TCPポート22番)の探索・攻撃を行っておりを探し回っており、OpenSSHのアップデートはもちろん、SSHサービスポートへのアクセスを特定のIPアドレスからのみに制限する等の対策をとることも強く推奨されます。

Polyfill .ioの元開発者は、もはや当該ライブラリは必要ないとして、使用を中止するよう呼び掛けていますが、依然需要がある模様で、Cloudflare・Fastly等著名なCDN業者が安全なバージョンの提供を発表しています。

外部サイトから自動的に最新のバージョンのスクリプト等を読み込む形にすることで、悪意によるスクリプトの改ざん・アップデート等により、不正なコードが読み込まれてしまう恐れがあることを懸念するのであれば、特定バージョンを指定しての読み込みや、改ざんを検出するSubresource Integrity機構の活用、もしくは予めダウンロードしたスクリプトの設置を検討すべきでしょう。

サイトを買収した企業は、「polyfillcache .com」という類似したドメイン名で、別のJavaScriptライブラリーを配布するCDNサイトを立ち上げていますが、外見や説明文が既存のCDNサイトに酷似している不審なサイトとなっており、今後またマルウェアを含むスクリプトが配布される恐れがあるため、くれぐれも使用しないように注意しましょう。