セキュリティに関する公開情報

ここでは、Migrate to Virtual Machines 5.0 に関連する Google からのセキュリティに関する公開情報について説明します。

最新のセキュリティに関する公開情報を取得するには、次のいずれかを行います。

  • このページの URL をフィード リーダーに追加する
  • フィードの URL（https://cloud.google.com/migrate-to-virtual-machines-security-bulletins.xml）をフィード リーダーに直接追加する

GCP-2024-040

公開日: 2024 年 7 月 10 日
説明 重大度 注

VMware ソースを Migrate to Virtual Machines に接続するために使用される仮想アプライアンスである Migrate Connector は、OpenSSH Daemon（SSHD）のセキュリティ バグ（CVE-2024-6387）の影響を受けます。

必要な対策

この問題を軽減するため、Migrate Connector バージョン 2.6.2497 がリリースされ、段階的に展開されています。適用するには、Google Cloud コンソールの [Migrate to Virtual Machines] ページに移動します。ソース アプライアンスのアップデートが利用可能になると、「ソースでアップデートが利用可能です」というバナーが表示されます。アップデートを承認して、Migrate Connector のアップデートを開始します。詳細については、Migrate Connector の構成を変更するをご覧ください。

リスクを直ちに軽減するには、次のいずれかのオプションを使用します。

  1. Migrate Connector にログインして、次のコマンドを実行します。
    sudo sed -i 's/#LoginGraceTime 2m/LoginGraceTime 0/g' /etc/ssh/sshd_config
     または

    /etc/ssh/sshd_config を手動で編集し、LoginGraceTime のエントリのコメント化を解除して、値を 0 に設定します。
  2. 次のコマンドを実行して SSHD を再起動します。
    sudo systemctl restart ssh

対処されている脆弱性

先日、OpenSSH において、リモートコード実行の脆弱性である CVE-2024-6387 が発見されました。この脆弱性により、リモートシェルへのアクセス権の取得が可能な競合状態が悪用され、攻撃者が root アクセス権を取得する可能性があります。本情報の公開時点において、脆弱性の悪用は困難であり、1 台のマシンに対する攻撃に数時間かかるものとみられます。悪用されたという報告は確認されていません。

 重大 CVE-2024-6387