Tectia SSH Serverの脆弱性につきまして、ユーザ様にはご不便並びにご心配をお掛けしておりまして誠に申し訳ございません。
本問題を修正した下記バージョンが、SSH Communications Security(Tectia)社よりリリースされましたので、報告いたします。

修正バージョン

• Tectia SSH Server 6.3.3
• Tectia Server 6.2.6
• SSH Tectia Server 6.1.13
• SSH Tectia Server 6.0.20

　※脆弱性の影響のあるUnix/Linux版のみのリリースとなります。

入手方法

現在、本製品の保守契約に加入されている場合、無償でご提供いたします。 お手数ではございますが、弊社サポート窓口までお問合せ下さい。

緊急度 High/Critical

2012年12月2日（日）に、リモートからの認証をバイパスする緊急度の高い脆弱性が明らかにされました。本件は、SSH USERAUTH CHANGE REQUEST機能に関わる脆弱性であり、SSH Communications Security（Tectia）社内の試験によって確認されたものです。

影響する製品

現行のTectia SSH ServerのUnix/Linux版のみ。
クライアントおよびWindows及びzOS版のTectia SSH Serverへの影響なし。
又旧来よりの方式のパスワード認証をすでに無効にしているServerへの影響も無いため、キーボード－インタラクティブ認証を利用したパスワード認証は安全。

影響範囲

本脆弱性は旧来よりの方式のパスワード認証にのみ影響。
キーボード－インタラクティブ、GSSAPI、公開鍵認証は影響なし。

影響を受ける製品及びそのバージョン

• SSH Tectia Server 6.0.4から6.0.20
• SSH Tectia Server 6.1.0 から 6.1.12
• SSH Tectia Server 6.2.0から6.2.5
• SSH Tectia Server 6.3.0から 6.3.2

現状と回避策

回避策：

現時点の回避策としては、

/etc/ssh2/ssh-server-config.xmlの設定ファイルを変更し旧来よりの方式のパスワード認証を無効とします。

<auth-password />を含む行（複数ある場合は全て）をコメントアウトとします。XMLファイルでコメントアウトする構文はis <!-- … -->です。以下の様に変更して下さい。

<!-- <auth-password /> -->

SSH Communications Security（Tectia）社としては上記変更を直ちに実施することを、強くお願いいたします。少なくとも外部に面する全てのTectia SSH Serverにおいて変更を実施することを、強くお願いいたします。
SSH Communications Security（Tectia）社では上記変更を自動的実施する為の、スクリプト作成中です。完了次第スクリプトをアップロードいたします。
パスワードを利用した認証を行うには、キーボード－インタラクティブを利用する方法があります。 以下はサーバの設定ファイルとなります。

<auth-keyboard-interactive>
<submethod-password />
</auth-keyboard-interactive>

脆弱性の内容

SSH Tectiaクライアント/サーバソリューションに影響するセキュリティの脆弱性の問題が発見されました。

この問題はSSH Tectia Client、またはSSH Tectia Serverがインストールされているシステムにおいて脆弱性を及ぼすことになります。 暗号化されたSecure Shell接続をリッスンし、ネットワーク接続(TCP)を動的に盗聴する事ができる攻撃者は、ある状況において最大４バイトの平文のデータを得ることができます。攻撃の試みはその攻撃された接続がただちに接続断となる原因となります。
この攻撃は、暗号ブロック連鎖(CBC)モードでブロック暗号アルゴリズムを使って暗号化されているプロトコルセッションに対してのみ有効となっています。
ただし、この脆弱性を突くことは非常に困難となっています。 CPNI Advisory Reference CPNI-957037

影響を受ける製品

下記バージョンが動作している全てのプラットフォームが影響を受けます。

• SSH Tectia Client/Server/ConnectSecure 6.0.4以前
• SSH Tectia Client/Server 5.3.8以前
• SSH Tectia Client/Server 5.2.4以前(*1）
• SSH Tectia Client/Server 4.4.11以前(*1）
• SSH Tectia Client/Server for z/OS 5.5.1以前
• SSH Tectia Client/Server for z/OS 6.0.1以前
• SSH Tectia Client 4.3.3-J (日本語版)以前
• SSH Tectia Client 4.3.10-K (韓国語版)以前(*1）
  注：(*1）印は、現在はテクニカルサポート対象外の製品です。

対処方法

現在、ご利用の環境を確認していただき以下のどちらかの方法をご検討ください。

1. 下記、修正バージョンへのバージョンアップ
• SSH Tectia Client/Server/ConnectSecure 6.0.5
• SSH Tectia Client/Server 5.3.9
• SSH Tectia Client/Server 5.2.5(*1）
• SSH Tectia Client/Server 4.4.12(*1）
• SSH Tectia Client/Server for z/OS 5.5.2
• SSH Tectia Client/Server for z/OS 6.0.2
• SSH Tectia Client 4.3.4-J (日本語版)
  注：(*1）印は現在はテクニカルサポート対象外の製品です。
  可能であれば5.3.9、または6.0.5へのバージョンアップをご検討ください。
2. ストリーム暗号の利用
   SSH Communications Security社としてはSecure Shell(SSH)のセッションでCBC(Cipher Block Chaining)モードの利用を避けることをすぐにできる回避策として推奨しております。
   SSH Tectia製品においては具体的にはCryptiCoreまたはArcfour暗号化アルゴリズムのどちらかを使うことで回避が可能です。

脆弱性の内容

悪意のあるローカルユーザが、この脆弱性により、ローカルの特権ユーザ(root)へ昇格する可能性があります。この脆弱性にはローカルなシェルアクセスが必要です。
ただし、リモートで、この脆弱性が攻略されることはありません。

影響を受ける製品

下記バージョンが動作している全てのLinuxおよびUnixプラットフォームが影響を受けます。

• SSH Tectia Client/Server 5.0.ｘ と 5.1.ｘ
• SSH Tectia Client/Server 5.2.0 - 5.2.3
• SSH Tectia Client/Server 5.3.0 - 5.3.5

以下については影響を受けません。

• SSH Tectia Client/Server 4.ｘ とそれ以前のバージョン
• SSH Tectia Client/Server　IBMメインフレーム版の全てのバージョン
• SSH Tectia Client/Server　Windows版の全てのバージョン

対処方法

現在、ご利用の環境を確認していただき以下のどちらかの方法をご検討ください。

1. 下記、修正バージョンへのバージョンアップ
   • SSH Tectia Client/Server 5.2.4
   • SSH Tectia Client/Server 5.3.6
2. /opt/tectia/libexec/にあるssh-signerを取り除く。
   ただし、host-based authenticationが使用できなくなりますので、これを利用している場合は注意してください。

SSH Tectia Server 4.4.0以前のバージョンにてSFTPサーバの脆弱性が発見されました。
scp2やsftp2によるファイル転送を可能にするSFTPサーバのプロセスにセキュリティ上の脆弱性が含まれます。

影響を受ける製品

• SSH Tectia Server 4.4.0 (AとT) - 全てのOS
• SSH Tectia Server 4.3.6 (AとT) とそれ以前のバージョン - 全てのOS
• SSH Secure Shell Server 3.2.9 とそれ以前のバージョン - 全てのOS

次の製品については影響を受けません。

• SSH Tectia Client
• SSH Tectia Connector
• SSH Tectia Server (M) -IBMメインフレーム用
• SSH Tectia Server 5.x (AとFとT)

対処方法

ご利用の環境を確認していただき次のどちらかの方法をご検討ください。

1. バージョン4.3.7か4.4.2へのバージョンアップ
2. SFTPサーバ機能を無効にする。注）scp2、sftp2によるファイル転送が出来ません。
   方法は、/etc/ssh2/sshd2_configからsubsystem-sftpで始まる行を コメントアウトして無効化し、sshd2の再起動を実施します。 この後でバージョンアップを行った場合は再度有効化してください。

Windows OS上でのSSH Tectia Serverの利用において、ホスト秘密鍵ファイルのアクセス権限にひそむ脆弱性が発見されました。

この脆弱性により管理者権限以外での秘密鍵へのアクセスを許すこととなり、 秘密鍵ファイルを外部に持ち出される可能性があります。

影響を受ける製品

• SSH Secure Shell for Windows Server (すべてのバージョン)
• SSH Tectia Server (Windows) 4.3.1 およびそれ以前のバージョン
  となります。

対処方法はバージョン4.3.2へのアップデートか、ホスト秘密鍵ファイルを管理者グループからの読み込み権限だけへと変更することです。