openSSHで脆弱性の大きな問題が発生

1.概要

openSSHで脆弱性の大きな問題が発生しています。すぐに修正を適用しましょう。

2.詳細

ubuntu terminalから下記コマンドでsshのVersionを確認します。
ssh -V

(a) ubuntu 20.04.6

６月頃の少し古い環境です
OpenSSH_8.2p1 Ubuntu-4ubuntu0.11, OpenSSL 1.1.1f  31 Mar 2020
アップデートをしました。
OpenSSH_8.2p1 Ubuntu-4ubuntu0.11, OpenSSL 1.1.1f  31 Mar 2020
このバージョンは過去に修正済みで問題ないようです。

(b) ubuntu 22.04.4

６月頃の少し古い環境です
OpenSSH_8.9p1 Ubuntu-3ubuntu0.7, OpenSSL 3.0.2 15 Mar 2022
アップデートをしました。
OpenSSH_8.9p1 Ubuntu-3ubuntu0.10, OpenSSL 3.0.2 15 Mar 2022

(c) ubuntu 24.04

６月頃の少し古い環境です
OpenSSH_9.6p1 Ubuntu-3ubuntu13, OpenSSL 3.0.13 30 Jan 2024
アップデートをしました。
OpenSSH_9.6p1 Ubuntu-3ubuntu13.3, OpenSSL 3.0.13 30 Jan 2024

3.所見

OpenSSHは利用されている範囲が広く、使われているOS環境も異なります。修正情報を提供する側も大変ですが、適用する側も間違えないように適用するのは大変です。

4.追加

本件に関連して調べたことや試したことを参考として追記します。

(1) openSSHで脆弱性の大きな問題が発生をWindows11のwslで確認

Windows11のWSL上のopenSSH脆弱性対応が気になったので試してみました。
まず、Windows updateを実行しました。しかし、ubuntu関連への修正は適用されません。
Windows Updateでは変更されないようなので、手作業でopenSSH修正が必要です。

$ sudo apt update
$ sudo apt upgrade

(2) ubuntu-24.04のopenSSH修正が再修正されました

ubuntu-24.04のopenSSH修正に問題があったようです。適用しました。

(3) xzにbackdoorが仕掛けられていた

2024-03-29に公開された情報ですが、私は先週末気が付きました。CVE-2024-3094に詳細情報は記載されていますが、xz 5.6.0、5.6.1にbackdoorが仕掛けられていたとのことです。ubuntuは24.04-preが影響しています。

OSSであったからこそ見つかったことかもしれません。該当する製品を利用している場合は対処しましょう。私もubuntu-24.04-preを利用しているので、全て削除をしました。

(4) opensslが更新されました

opensslが更新されました。opnessh問題時には変更はなく、静かに更新されました。

(5) sshを利用してremote serverで処理を実行する方法

sshを利用したfile system mountができないかと考えてネットを調べるとFUSEベースのFile System Clientとしてsshfsを見つけました。早速、試してみたので、その内容を記述します。

(a) 準備

参考資料に沿って作業をするために、KVM環境にubuntu-20.04 serverを２台構築します。
KVM仮想マシンの作成方法は省略します。本ブログ内に複数あります(例：kubernates in KVM)
作成した仮想マシンは下記内容です。ubuntu install時にopensshを導入しています。

ubuntu201  1 core 2GB memory 25GB disk ip=192.168.122.201
ubuntu202  1 core 2GB memory 25GB disk ip=192.168.122.202

(b) ssh動作確認

ubuntu terminalからsshコマンドでuser/passwordでloginします
ssh username@192.168.122.201

home directory上にdirectoryとfileを確認用に設定します。
mkdir share
cd share
touch test.txt

新しいubuntu terminalから２台目にuser/passwordでloginします。
ssh username@192.168.122.202

一台目からscpでファイルをコピーできることを確認します。
scp username@192.168.122.201:./share/test.txt ./

(c) sshfsの導入

２台目(192.168.122.202)にsshfsを導入します。
sudo apt install sshfs
sshfs --version
SSHFS version 2.10.0
FUSE library version: 2.9.9
fusermount version: 2.9.9
using FUSE kernel interface version 7.19

(d) mount確認

mountしてみます。
mkdir sshfs-mnt
sshfs username@192.168.122.201: sshfs-mnt
ls ./sshfs-mnt/
share
username@ubuntu201:~$ ls ./sshfs-mnt/share/
test.txt

想定通りに動作します。

(6) ssh port forwardを試してみました

sshを利用した接続ができる環境があると、ssh port forward機能を利用して、ssh接続先のlocal環境に存在するサービスに接続することができます。まず、sshコマンドで接続先のIP-addressのPostgreSQLへのトンネルを設定します。次に、psqlを利用して、トンネル経由で接続先IP-addressのPostgreSQLへ接続します。

(a) 環境

localPCのIP-addressを192.168.20.20とします。
PostgreSQLが動作するIP-addressを192.168.10.10

(b) sshコマンドによるトンネル設定( terminal-1 で実行 )

ssh -i .ssh/id_ed25519.pem -L 15432:192.168.20.20:5432 192.168.10.10

id_ed25519.pemは、sshで192.168.10.10に接続するための鍵です。
この設定の意味は、LocalPC(192.168.20.20)のport 15432に接続すると
192.168.10.10のport 5432にforwardすると言うことです。

(c) psql接続( terminal-2 で実行 )

psql -h localhost -p 15432 -U my_user my_database

この設定の意味は、localhost(192.168.20.20)のport 15432に
psqlでmy_userでmy_databaseに接続することです。

つまり、192.168.10.10にはmy_databaseが存在し、my_userで接続できることが前提です。

(7) KVMマシン内ubuntu serverのterminalでcopy & pasteするには

KVM環境を良く利用します。Ubuntu desktopを仮想マシンとして動作させることが多いのですが、ubuntu serverを仮想マシンとして動作させたときに、copy & pasteができないことに気が付きました。これはubuntu serverにはGUIがないためです。ネットを調べても良い方法がすぐに見つかりません。ふと、クラウド環境を利用するときにssh接続をすることを思いだして、試してみました。

ubuntu serverの22.04をisoファイルからKVM環境に導入するときに、OpenSSH Serverを導入します。InstallerはOpenSSHの必要性をわかっているようで、Install時に選択できます。

Install完了後、Consoleからloginして、作成したVirtual Machine のip addressを調べます。
ip a
このipを利用して
ubuntu desktopのterminalからssh接続します。
ssh username@ip-address

desktop terminalで接続できるとcopy & pasteの問題は改善できます。 

参考

[本ブログ内参照]
・miniPCのBMAXにwindows11を再導入して。ハマりました

コメント

コメントを投稿

過去30日間に良く読まれた記事

miniPCのBMAXでWindows11のsecure boot設定漏れでトラブル発生

0.推奨 Windows11をプリインストールモデルの状態で利用されている場合は問題になることはありません。Windows11のUSB bootメディアを作成して自分で新規導入したり、Windows10からWindows11へupgradeをした場合。Windows11への移行条件確認が十分でない状態があったのではないかと思います。Windows11で必須要件を満たさずに移行されたWindows11環境がありました。 今回のトラブルでBitLockerの48桁の回復キーがないことが痛手でした。Windows11を利用する上でBitLockerの回復キーは大切に保管が必要です。secure bootを設定するとディスクは暗号化されてしまいます。障害復旧に回復キーは必須です。６月の証明書期限切れで問題が発生して、思わぬ事態にならぬように早めにチェックすること、回復キーを保管することを推奨します。 1.概要 始まりは、参考資料の「6月からパソコンが動かなくなる？」です。miniPCのsecure boot設定をmsinfo32で確認すると「無効」でした。そこで、BIOSの設定でsecure bootをenableに設定して、msinfo32は「有効」になりました。これが暗号化設定と認識不足でした。Windows Updateを実行して証明書の更新を実行すると、Windows Updateのボタンが赤色に変わりました。ここからトラブルです。理解不足で複数のミスが重なり、データを消失。復旧も時間を必要としました。その内容を記述します。 2.詳細 (1) トラブルの始まり ネット記事で、secure boot設定が必要で、６月にPCが動かなくなると思って、BIOS設定を変更したことが始まりです。この変更は、BIOSでSecurityのsecure bootをdisableからenableに変更だけです。Windows11を起動してmsinfo32で有効をチェックして完了。追加としてWindows Updateで証明書の導入をしてからハマりました。 障害の状況は、Windows11自体は普通に使えるのですが、Windows Updateのボタンが赤色。文字も赤字に変わりました。今後、発生するupdate適用ができなくなると認識しました。 (2) GoogleAI(Gemini)に...
続きを読む

Windows95/98のPCゲームをUbuntu/LinuxMintの最新PCで楽しむ方法 ( KVM / Wine / dosbox-x / midi )

1.概要 Ubuntults 24.04のリポジトリを利用するLinuxMint 22.3で、32bitのアプリケーションを楽しむことができるのか整理をしました。今回、仮想環境のKVMでの試験を実施して、KVM,Wine,Dosbox-xの３種類を実施した範囲で、遜色なく利用できるのはDosbox-xだけでした。KVMやWineではサウンド処理関連の互換性がなくなったような気がします。この内容に関して記述します。 注意事項 Windowsの利用にあたっては、Microsoftが定める使用許諾契約（EULA）を遵守する必要があります。ライセンス違反（不正なプロダクトキーの利用、規約外の商用利用など）は違法行為となるため、必ず正規のライセンスを取得・確認した上で操作を行ってください。 2.詳細 (1)KVM環境 KVM環境はRegacyBIOS互換のCSMで試しました。KVM上でWindows98SEは起動します。デバイスマネージャを参照した範囲ではエラーはありませんが、サウンドが想定通りに再生されない点、ディスプレイ表示設定が思うようにならない点がありました。どちらもドライバの問題と思います。構築した環境はUbuntu 22.04まで試験をしていた環境です。仮想ソフト（KVM, VMware, Virtualboxなど）は新しい環境への対応を進める中で古い環境の互換性は保たれなくなっていると感じています。 (a) KVMにWindows98seを導入 Windows98の仮想マシンを作成（サポート期間が切れたOSを選択） Memory=128MB、CPU=1、Disk=0.5GBを選択 インストールの前に設定をカスタマイズするを選択 ブートオプション：IDE CD-ROMにチェック CD-ROM bootのため、IDE ディスクとIDE CR-ROMの順番を入替える サウンド ich6：sb16を上書設定 ビデオ QXL：cirrusを上書設定 CD-ROM boot後、CD-ROMサポート付きmsdosを利用して、fdiskでCドライブを作成 再度、上記構成で再起動をして、d:\win98にてformat c:を実行してfat16で初期化 d:\win98のsetupを実行して導入 (2)Wine環境 Wine 11.8で試験をしました。 ディスプレイ表示は普通に使...
続きを読む

LinuxMint/ubuntuにWine 11導入を試しました ( LinuxMint 21.3 / 22.3 ubuntu 22.04 / 26.04 Wine 11.0 / 11.6 / 11.8 / 11.13 )

1.概要 Wine 11.0がリリースされました。メジャーアップデートで「Wine 11.0 6300以上の変更と600件以上の不具合修正を反映」と記載されています。早速、試してみることにしました。少し前にWinBoatを導入したことと比較すると、とても簡単でミスをすることはありません。しかし、Windowsのアプリを動かす意味を考え直すことになりました。 ubuntu desktop 26.04をKVM環境で評価しているので、Wine 11.13(最新版)導入を試しました。手順はWikiに記載されている手順で問題なく実施できます。詳細手順は、4.追加に記載します。 2.詳細 環境は、intel i3, Memory 16GBのPCにLinuxMint-21.3を新規導入しました。 Wine 11.0の導入手順を見つけるのに少し手間取りましたが、Wiki/Debian-Ubuntuに詳しく記載されています。 その手順に沿って作業を実施しました。 $ cat /etc/os-release $ sudo mkdir -pm755 /etc/apt/keyrings $ wget -O - https://dl.winehq.org/wine-builds/winehq.key | sudo gpg --dearmor -o /etc/apt/keyrings/winehq-archive.key - $ sudo dpkg --add-architecture i386 $ sudo wget -NP /etc/apt/sources.list.d/ https://dl.winehq.org/wine-builds/ubuntu/dists/jammy/winehq-jammy.sources $ sudo apt update $ sudo apt install --install-recommends winehq-stable $ wine --version $ sudo apt install winetricks $ winetricks cjkfonts $ winetricks --version 上記手順でWine 11.0の導入が終わります。３分間程度なので負担はありません。日本語環境も導入しました。 何をしようかと考えて、動かしたいWindo...
続きを読む