UNIXの「Bash」にバグ発覚で対策が必要に

スポンサードサーチ

コンピュータセキュリティの情報を収集し、インシデント対応の支援、コンピュータセキュリティ関連情報の発信などを行う一般社団法人 JPCERTコーディネーションセンターの方から、2014年9月25日に「GNU bash の脆弱性に関する注意喚起」として出ておりましたが、Linuxで良く使われている「bash」にバグが見つかりました。

「HeartBleed」よりも大きな被害を引き起こす可能性

Windowsしか使っていない方にとってはなじみがないものですが、UNIXやLinux等のサーバでは広く使われているものであるのと、OpenSSLで見つかった「HeartBleed」のセキュリティ脆弱性よりも大きな被害を引き起こす危険性があるということで、緊急の対応が必要となっています。

JPCERT：GNU bash の脆弱性に関する注意喚起

ロイター:ＵＮＩＸ系のソフト「ｂａｓｈ」に重大バグ、システム乗っ取りも

４月に発覚したオンラインのデータ暗号化ソフトのバグ「ハートブリード」より大きな被害を引き起こす危険性があるという。

GIZMODO:UNIXの「Bash」にバグ発覚、Heartbleedより怖いかも。

また、公開された脆弱性を修正するパッチがすぐに公開されましたが、このパッチでは別の脆弱性が解決されていないことが判明しました。

ITmediaエンタープライズ:bashシェルの修正パッチは不完全、脆弱性突く攻撃の報告も

Appleの「Mac OS X」でも使用

現在は既にこちらに対応するパッチが出ていますので、サーバ管理者の方は順次対応をしていっていると思いますが、bashはAppleの「Mac OS X」にも使用されています。

ZDNet:Bashの脆弱性、「Mac」ユーザーの圧倒的大多数に影響なし–アップルがコメント

CNET:アップル、「OS X」のアップデートを公開–「Bash」脆弱性に対応

ただ、脆弱性を修正するアップデートが公開されましたが、パッチの方は不完全で脆弱性が残っていると指摘されています。

ZDNet:「bash」脆弱性対応の「OS X」アップデートは不完全：セキュリティ研究者が指摘

こちらは、Appleの方が回答をしていないので詳細は不明ですが、最新のパッチが配布された段階で対応をしている方がいいと思われます。

自社サーバに適用

私も、自分が管理している複数のサーバについてはyumでアップデート対応をいたしました。
対応手順としては以下の通り。

1.bashのバージョンを確認

# yum list installed | grep bash

一般社団法人 JPCERTコーディネーションセンターの情報によると該当するバージョンは以下の通り。

Bash 4.3 Patch 26 およびそれ以前
Bash 4.2 Patch 49 およびそれ以前
Bash 4.1 Patch 13 およびそれ以前
Bash 4.0 Patch 40 およびそれ以前
Bash 3.2 Patch 53 およびそれ以前
Bash 3.1 Patch 19 およびそれ以前
Bash 3.0 Patch 18 およびそれ以前

2. 脆弱性の対象となるバージョンの場合、bashのアップデートを実行

# yum -y update bash

アップデート後に以下のバージョンになっている事を確認してください。

Bash 4.3 Patch 27
Bash 4.2 Patch 50
Bash 4.1 Patch 14
Bash 4.0 Patch 41
Bash 3.2 Patch 54
Bash 3.1 Patch 20
Bash 3.0 Patch 19

最近、OpenSSLやDNS等、インターネットの根幹に関わる技術的な部分に欠陥が見つかるケースが増えていますので、常に最新の情報を確認して対応が必要ですね。

スポンサードサーチ