2024年12月版　最速！危険度の高い脆弱性をいち早く解説「脆弱性研究所」第17回

2024.01.10

12月に公開された重大な脆弱性（CISA KEV参照）

12月に新たに公開された脆弱性は2912となります。この中で特に重大な脆弱性をいくつかピックアップして説明したいと思います。

第三回で説明したCISAによる「実際に悪用されている脆弱性(Known Exploited Vulnerabilities Catalog)」のデータベース情報もあわせて載せています。

　12月にCISAのKEVに登録された脆弱性はトータル11件で、内訳は

Qualcomm: 4件
Apple: 2件
Qlink: 2件
Unitronics: 1件
FXC: 1件
QNAP: 1件

になっています。

ちなみに、CISA KEV Catalogは見た目が変わっており、昔よりは一覧性は低くなっていますが、どのようなランサムウェアグループに悪用されたかなどの情報が付加されています（下図の赤線による囲み）。

参考情報

CISA「Known Exploited Vulnerabilities Catalog」

1. SSHプロトコルの脆弱性「Terrapin Attack」

12月18日にSSHプロトコルに共通の脆弱性「Terrapin Attack」が公開されました。OpenSSHを含めて、ほぼすべてのSSHプロトコルで通信するソフトウェアが対象になっています。ただし、攻撃の前提などが高いため、危険性の高い問題にはならないと考えられます。

　以下では、この「Terrapin Attack」に関して簡単に説明します。

一次情報源

CVE情報

公開されたCVEは以下になります。

CVE-2023-48795
- CVSS
  - 未公開

脆弱性の詳細

SSHの説明

SSHでは、以下のような手順で接続を行っています。

（画像は論文をもとに作成。Snd は送信パケットのシーケンス番号、Rcv は受信パケットのシーケンス番号を示します。認証された暗号化を使用して検証されたシーケンス番号は赤太字で示しています。）

Wiresharkでパケットを取得すると下記のようになります（青がクライアントIP、赤がサーバーIPです）。

TCP上でSSHのバージョンを最初に交換します。それ以降はBPP（Binary Packet Protocol）で情報を交換します。BPPパケットでは、赤太字のシーケンス番号が両方のピアで一致する必要があります。それ以外の場合、BPP パケットは拒否されます。

鍵交換では最初にKEXINITをクライアントとサーバー双方が送信し合います。この中で、暗号アルゴリズムやMAC(Message Authentication Code: メッセージ認証コード)アルゴリズム、圧縮アルゴリズムなどをクライアントとサーバー間でやり取りしあって合意します。

　3.KEXINITで交換方法が決定されると、次にKEXDH_INITでDH鍵の合意が行われます。

　4.その後クライアントから「NEWKEYS」が送られます。このメッセージが受信されると、受信には
　新しいキーとアルゴリズムを使用する必要があります。以降、新しい鍵を用いて接続が行われます。

攻撃者のモデル

ここでは攻撃者として、TCPレイヤーで通信を観察、変更、削除、またはバイトを挿入できる Man in the Middle（MitM:中間者攻撃）の攻撃者を考えます。

また、攻撃者は暗号化キーやメッセージ認証コード (MAC)キー、Initial Vector（IV: 初期化ベクタ：鍵交換で取得した共有秘密と交換ハッシュ Hとセッション鍵から生成される）に関する情報を持っていないため、セッションキーの機密性を破ることはできないことを前提としています。

今回の脆弱性の根本的な原因

SSHのサーバー認証では、署名を使用してハンドシェイクの整合性を検証しますが、署名は完全なトランスクリプトではなく、固定されたハンドシェイクメッセージに基づいて作成されます。これにより、攻撃者がハンドシェイクメッセージに別のメッセージを挿入することで、シーケンス番号を操作することが可能になります。

SSH は、セキュアチャネル開始時にシーケンス番号をリセットしません。代わりに、SSHは暗号化状態に関係なく、シーケンス番号を単調増加させます。セキュアチャネル前のシーケンス番号の操作は、チャネルに引き継がれます。

また、RFC4253にも記載されているとおり、

すべての実装は、いつでも（識別文字列を受け取った後）SSH_MSG_IGNOREを理解（および無視）する必要があります。

SSH は、認証にハンドシェイクトランスクリプトから選択したもののみを使用します。この選択から計算されたハッシュ値は「交換ハッシュH」と呼ばれ、次のように定義されます。

H = HASH(VC || VS || IC || IS || KS || X || K)

ここで、HASH はネゴシエートされた鍵交換のハッシュ関数、VC と VS はクライアントとサーバーのバージョン情報、ICとISはKEXINITメッセージ、KSはサーバーの公開鍵、Kは鍵交換から派生した秘密共有秘密になります。

交換ハッシュHには、アルゴリズムのネゴシエーションや共有秘密の計算に影響を与える可能性のあるすべてが含まれていますが、SSH_MSG_IGNOREなど、一見「重要ではない」メッセージやメッセージ部分は除外されます。 これにより、ハンドシェイクにメッセージを挿入できるMitM攻撃者であれば、気づかれることなくメッセージを挿入することが可能になります。

攻撃例（シーケンス番号をずらす）

鍵交換などのハンドシェイクを行っている最中に、MitMを行える攻撃者はクライアントにSSH_MSG_IGNOREを送ります。このSSH_MSG_IGNOREは交換ハッシュには影響を与えないため、気づかれません。しかし、クライアント側はメッセージを処理しなくてはならないので、それを受け取ることで受信パケットのシーケンス番号が増えてしまい、ずれが生じてしまいます。この結果、サーバーが送ったSC1は、先述のように、BPPパケットでは赤太字のシーケンス番号が両方のピアで一致する必要があるため検証しますが、ずれが生じているため拒否されます。

そのため、SC2から通信が再開することになります。

この攻撃を利用して、MitMができる攻撃者はSSH通信でのダウングレード（キーストロークの不明瞭化を無効化したり、弱い認証アルゴリズムを使わせたりする）を強制することが可能になります。

前提条件

先述のとおり、この攻撃には

MitM攻撃で任意のパケットを通信間で送ることができる攻撃者

という前提条件が有り、悪用の機会は限定的になります。しかし、MitM攻撃が可能な状態では悪用される可能性があるため、SSHサーバー・クライアントの更新などの対応が必要になります。

対応

OpenSSHでは、OpenSSH 9.6/9.6p1で対応しています。また、その他のSSHを使用するソフトウェアも、続々とこの脆弱性に対応したバージョンがリリースされています。

参考情報

2. LogoFail: PC起動時のUEFIで表示されるロゴ画像置き換えの脆弱性

UEFI システムファームウェアに埋め込まれたグラフィックイメージパーサーに脆弱性が見つかり、「LogoFail」と名付けられました。本脆弱性はUEFIブートシステムを使用している多くのハードウェアにまたがるため、完全な技術的詳細は12 月6日まで公開が禁止されていました。以下では、この「LogoFail」に関して簡単に説明します。