cve-2024-6387についてのアップデートを行いたい

Question

実現したいこと

Ubuntuのopensshを利用しておりcve-2024-6387についてのアップデートを行いたい

発生している問題・分からないこと

1.アップデートの具体的な手順がわからない
2.“ssh -v”を入力してどのようなメッセージ（どのバージョン）が表示されていればアップデートが成功しているのかわからない

該当のソースコード

特になし

試したこと・調べたこと

• teratailやGoogle等で検索した
• ソースコードを自分なりに変更した
• 知人に聞いた
• その他

上記の詳細・結果

1“ssh -v”に対するメッセージが
OpenSSH_9.8p1, OpenSSL 3.0.2 15 Mar 2022
と
openssh 1:8.9p1-3ubuntu0.10
どちらが表示されていればアップデート成功なのか知ることが出来なかった
2.手順を紹介しているページを見つけ自分でも試してみたが“ssh -v”に対するメッセージを見てもアップデー卜が成功しているのかわからない

補足

特になし

Comments

[maisumakun]

> “ssh -v”に対するメッセージが

いまはどう表示されているのですか？

[melian]

CVE-2024-6387 への対応状況は以下のページで公開されています。

CVE-2024-6387 | Ubuntu
https://ubuntu.com/security/CVE-2024-6387

openssh-server パッケージのバージョンですが、以下を実行すると判ります。

$ dpkg -s openssh-server | grep ^Version

openssh 1:8.9p1-3ubuntu0.10 とのことですので、jammy(Ubuntu 22.04 LTS)であれば、対応済みになります。

また、手元の Ubuntu は noble(Ubuntu 24.04 LTS)ですが、/usr/share/doc/openssh-client/changelog.Debian.gz に以下の項目があります。

openssh (1:9.6p1-3ubuntu13.3) noble-security; urgency=medium

* SECURITY UPDATE: remote code execution via signal handler race
condition (LP: #2070497)
- debian/patches/CVE-2024-6387.patch: don't log in sshsigdie() in log.c.
- CVE-2024-6387

[akakg]

コメントありがとうございます。
> “ssh -v”に対するメッセージが

いまはどう表示されているのですか？

OpenSSH_9.8p1, OpenSSL 3.0.2 15 Mar 2022
今確認しますと昨日と違って上記のメッセージが表示されました

[akakg]

解決しました
回答ありがとうございました

Answer 1

gihyo.jpのLinux Daily Topicsの記事からのubuntu対応状況のページを確認するといいんではないでしょうか?

Statusのところを見ると，現状サポートされているバージョンはだいたいセキュリティパッチがリリース済みのようです。

なので，

sudo apt update
sudo apt upgrade

しておけば大体OKなのではないでしょうか。

確認方法の一例としては，

sudo apt search openssh-server | grep インストール

ぐらいでバージョンを確認して，先ほどのStatusの表と突き合わせればいいかと思います。

表のjammy(22.04)のとこに 1:8.9p1-3ubuntu0.10 とあるので，既にパッチが適用済みの状態と思いますけどね。

Comments

[akakg]

回答ありがとうございます。
試したところ問題が解決しました！
ベストアンサーに選ばせていただきました。

Answer 2

実行すべきコマンドは、まずは apt list openssh-server でしょう。
ssh コマンドで sshd のディストリビューションのパッチレベルを調べることはできないかと。

Comments

[akakg]

回答ありがとうございます。
試したところ問題が解決しました！