Citrix HypervisorにPuTTYの重大な脆弱性が影響、確認と対策を
マイナビニュース2024年5月13日(月)12時51分
Citrix Systemsは5月9日(米国時間)、「Citrix Hypervisor Security Update for CVE-2024-31497」において、Citrix Hypervisor 8.2 CU1 LTSRのXenCenterがリモートログオンクライアント「PuTTY」の重大な脆弱性の影響を受けるとして、情報を公開した。Citrix Hypervisor 8.2 CU1 LTSRのXenCenterは「Open SSH Console」ボタンの使用時にサードパーティーコンポーネントのPuTTYを使用する。
○PuTTYの重大な脆弱性の概要
PuTTYの重大な脆弱性は、楕円曲線P-521を使用する楕円曲線デジタル署名アルゴリズム(ECDSA: Elliptic Curve Digital Signature Algorithm)において、生成するノンス(nonce)値に偏りがあるというもの。
この脆弱性は「CVE-2024-31497」として追跡されており、その詳細は「PuTTYのデジタル署名に脆弱性、秘密鍵を窃取される可能性 | TECH+(テックプラス)」にて解説している。
この脆弱性が悪用されると、署名付きメッセージから秘密鍵を取得される可能性がある。影響を受けるXenCenterにおいては、ゲストVMを制御する攻撃者がXenCenter管理者のSSH秘密鍵を取得する可能性がある。
○脆弱性の影響を受ける製品
脆弱性の影響を受ける製品およびバージョンは次のとおり。
XenCenter バージョン8.2.6およびこれ以前のバージョン
XenCenter バージョン8.2.7以降はPuTTYを含まないため影響を受けない。また、XenServer 8用のXenCenterはPuTTYを含まないため、こちらも影響を受けない。
○脆弱性への対策
Citrix Systemsは「Open SSH Console」を使用しない顧客に対し、PuTTYコンポーネントの削除を推奨している。使用を継続する顧客には、PuTTYコンポーネントを手動でバージョン0.81以降にアップデートすることを推奨している。
なお、この脆弱性は修正前のPuTTYによって生成された楕円曲線P-521を使用する電子署名すべてに影響しており、秘密鍵の安全性もこれら電子署名により失われていると評価できる。そのため、影響を受けるこれら電子署名と鍵ペアはすべて破棄することが推奨されている。
○PuTTYの重大な脆弱性の概要
PuTTYの重大な脆弱性は、楕円曲線P-521を使用する楕円曲線デジタル署名アルゴリズム(ECDSA: Elliptic Curve Digital Signature Algorithm)において、生成するノンス(nonce)値に偏りがあるというもの。
この脆弱性は「CVE-2024-31497」として追跡されており、その詳細は「PuTTYのデジタル署名に脆弱性、秘密鍵を窃取される可能性 | TECH+(テックプラス)」にて解説している。
この脆弱性が悪用されると、署名付きメッセージから秘密鍵を取得される可能性がある。影響を受けるXenCenterにおいては、ゲストVMを制御する攻撃者がXenCenter管理者のSSH秘密鍵を取得する可能性がある。
○脆弱性の影響を受ける製品
脆弱性の影響を受ける製品およびバージョンは次のとおり。
XenCenter バージョン8.2.6およびこれ以前のバージョン
XenCenter バージョン8.2.7以降はPuTTYを含まないため影響を受けない。また、XenServer 8用のXenCenterはPuTTYを含まないため、こちらも影響を受けない。
○脆弱性への対策
Citrix Systemsは「Open SSH Console」を使用しない顧客に対し、PuTTYコンポーネントの削除を推奨している。使用を継続する顧客には、PuTTYコンポーネントを手動でバージョン0.81以降にアップデートすることを推奨している。
なお、この脆弱性は修正前のPuTTYによって生成された楕円曲線P-521を使用する電子署名すべてに影響しており、秘密鍵の安全性もこれら電子署名により失われていると評価できる。そのため、影響を受けるこれら電子署名と鍵ペアはすべて破棄することが推奨されている。
「脆弱性」をもっと詳しく
「脆弱性」のニュース
-
情報漏洩の80%はActive Directoryが原因、4,000万件超の脆弱性を分析6月13日9時35分
-
人気ある生体認証デバイスに脆弱性、細工したQRコードで認証可能6月13日8時51分
-
中国が支援するサイバー攻撃、FortiGateの脆弱性を悪用して2万台超を侵害6月13日7時28分
-
クラウドストレージ脆弱性診断提供開始のお知らせ6月12日17時46分
-
Microsoft、2024年6月の月例更新 - 49件の脆弱性への対応が行われる6月12日16時9分
-
Microsoft、脆弱性修正する6月の累積更新プログラムを配信開始6月12日12時10分
-
バグバウンティプラットフォーム「IssueHunt」等を提供するIssueHunt株式会社、学生のためのサイバーセキュリティカンファレンス「P3NFEST」第二回開催のお知らせ6月12日11時16分
-
脆弱性管理クラウド「yamory」 「AWS Summit Japan」出展および登壇のお知らせ6月12日11時16分
-
Pixelに6月のセキュリティ更新 「悪用を受けている可能性」のある脆弱性を含む50件に対処6月12日11時7分
-
ThinkPHPの古い脆弱性を悪用したサイバー攻撃を確認、注意を6月12日9時23分
ITニュースランキング
-
1YouTubeがニコニコ動画の“代わりになれない理由”とは……? 「すげぇわかる」「ニコニコだって素晴らしい」と共感コメ殺到 ねとらぼ
-
2金剛型をイメージしたデザイン トヨタ GR86をカスタムした「艦これ」仕様車が登場! 価格は500万円超も購入希望者が殺到 ねとらぼ
-
3メルカリで「doorzo」というアカウントに購入された! 怪しい相手でないか心配…取引しても大丈夫? All About
-
4実はメルカリで出品してはいけないもの5選! “夏の風物詩”もNGって本当?【メルカリのプロが解説】 All About
-
5辻希美、中学生・長男からの“お願い”に「ダメ!」「怖い怖い」 視聴者に呼びかけ「どうするのが正解なんだろう」 ねとらぼ