MicrosoftのWindowsは脆弱性(regreSSHion 、CVE-2024-6387)の影響を受けない

セキュリティニュース

投稿日時: 更新日時:

MicrosoftのWindowsは脆弱性(regreSSHion 、CVE-2024-6387)の影響を受けない

2024年7月1日に、サイバーセキュリティ企業Qualysはglibc ベースの Linux システムの OpenSSH サーバー (sshd) にリモート認証なしでコードを実行 (RCE) ができる脆弱性(regreSSHion 、CVE-2024-6387)を発見しました。2024年7月正式にMicrosoft(マイクロソフト)がWindowsはこの脆弱性の影響を受けない事を公表しました。

脆弱性(regreSSHion 、CVE-2024-6387)に関してのMicrosoftの声明

Microsoft Windows はこの脆弱性(regreSSHion 、CVE-2024-6387)の影響を受けません。Windows には OpenSSH コンポーネントが含まれていますが、脆弱なコードは攻撃者によって悪用または制御されることはありません。

この脆弱性で使用される競合状態は、win32-openssh 実装のログイン猶予タイムアウト処理との大きな違いのため、Windows では発生しません。

としています。

引用:RedHat Openssh: CVE-2024-6387 Remote Code Execution Due To A Race Condition In Signal Handling 

脆弱性の概要(regreSSHion 、CVE-2024-6387)

この脆弱性は、OpenSSHのサーバー(sshd)におけるシグナルハンドラの競合状態(レースコンディション)が発生する事に起因しており、glibcベースのLinuxシステム上でrootとして認証されていないリモートコード実行(RCE)を可能にし、

重大なセキュリティリスクとsshdのデフォルト設定に影響を及ぼします。

この文脈での回帰とは、一度修正された欠陥が、その後何らかの変更やアップデートによって意図せず再導入されたために、以降のソフトウェアリリースで再び出現することを指します。このインシデントは、既知の脆弱性が環境に再導入されるのを防ぐために、徹底的な回帰テストが重要であることを浮き彫りにしています。

この回帰策は、2020年10月 (OpenSSH 8.5p1) に導入されました。