セキュリティに関する公開情報

ここでは、Migrate to Virtual Machines 5.0 に関連する Google からのセキュリティに関する公開情報について説明します。

GCP-2024-040

公開日: 2024 年 7 月 10 日

説明重大度注

説明	重大度	注
VMware ソースを Migrate to Virtual Machines に接続するために使用される仮想アプライアンスである Migrate Connector は、OpenSSH Daemon（SSHD）のセキュリティバグ（CVE-2024-6387）の影響を受けます。必要な対策この問題を軽減するため、Migrate Connector バージョン 2.6.2497 がリリースされ、段階的に展開されています。適用するには、Google Cloud コンソールの [Migrate to Virtual Machines] ページに移動します。ソースアプライアンスのアップデートが利用可能になると、「ソースでアップデートが利用可能です」というバナーが表示されます。アップデートを承認して、Migrate Connector のアップデートを開始します。詳細については、Migrate Connector の構成を変更するをご覧ください。リスクを直ちに軽減するには、次のいずれかのオプションを使用します。 Migrate Connector にログインして、次のコマンドを実行します。 sudo sed -i 's/#LoginGraceTime 2m/LoginGraceTime 0/g' /etc/ssh/sshd_config または `/etc/ssh/sshd_config` を手動で編集し、`LoginGraceTime` のエントリのコメント化を解除して、値を 0 に設定します。次のコマンドを実行して SSHD を再起動します。 sudo systemctl restart ssh 対処されている脆弱性先日、OpenSSH において、リモートコード実行の脆弱性である CVE-2024-6387 が発見されました。この脆弱性により、リモートシェルへのアクセス権の取得が可能な競合状態が悪用され、攻撃者が root アクセス権を取得する可能性があります。本情報の公開時点において、脆弱性の悪用は困難であり、1 台のマシンに対する攻撃に数時間かかるものとみられます。悪用されたという報告は確認されていません。	重大	CVE-2024-6387

VMware ソースを Migrate to Virtual Machines に接続するために使用される仮想アプライアンスである Migrate Connector は、OpenSSH Daemon（SSHD）のセキュリティバグ（CVE-2024-6387）の影響を受けます。

必要な対策

この問題を軽減するため、Migrate Connector バージョン 2.6.2497 がリリースされ、段階的に展開されています。適用するには、Google Cloud コンソールの [Migrate to Virtual Machines] ページに移動します。ソースアプライアンスのアップデートが利用可能になると、「ソースでアップデートが利用可能です」というバナーが表示されます。アップデートを承認して、Migrate Connector のアップデートを開始します。詳細については、Migrate Connector の構成を変更するをご覧ください。

リスクを直ちに軽減するには、次のいずれかのオプションを使用します。

Migrate Connector にログインして、次のコマンドを実行します。
```
sudo sed -i 's/#LoginGraceTime 2m/LoginGraceTime 0/g' /etc/ssh/sshd_config
```
または

/etc/ssh/sshd_config を手動で編集し、LoginGraceTime のエントリのコメント化を解除して、値を 0 に設定します。
次のコマンドを実行して SSHD を再起動します。
```
sudo systemctl restart ssh
```

対処されている脆弱性

先日、OpenSSH において、リモートコード実行の脆弱性である CVE-2024-6387 が発見されました。この脆弱性により、リモートシェルへのアクセス権の取得が可能な競合状態が悪用され、攻撃者が root アクセス権を取得する可能性があります。本情報の公開時点において、脆弱性の悪用は困難であり、1 台のマシンに対する攻撃に数時間かかるものとみられます。悪用されたという報告は確認されていません。

重大

CVE-2024-6387