SSH
このタグの記事 4 件
OpenSSH 10.6p2 の緊急修正（CVE-2026-123158）｜AlpineなどmuslのsshdにPAMなしでパスワード認証バイパス
OpenSSHは2026年11月5日、10.6p2を公開し、PAM無効でビルド・実行されたLinux、とくにmusl libc環境のsshdで、パスワード認証を迂回されうる問題への重大な回避策を入れた。CVEはCVE-2026-123158（CVSS 3.1は8.1、評価はCVE登録側）。Alpine Linuxは同日に勧告を出し、全ブランチの修正パッケージを公開した。Alpineの説明では、パスワード認証が有効で、パスワード欄が「*」のアカウントと、通常のハッシュを持つアカウントが同居するときに該当する。PAM有効のopenssh-server-pam、PasswordAuthentication no、sshdを動かさないコンテナは対象外。米CISAのKEVには11月7日時点で未掲載。一方、民間の脅威情報会社は、公開から9時間未満で攻撃の試みを観測したと報じられているが、第三者の検証は確認できていない。当サイトの結論：sshdがmusl・PAMなしかを確かめ、openssh 10.6p2または各配布元の修正版に更新してsshdを再起動し、更新できない間はパスワード認証を止め、認証ログを点検する。
Cursorの拡張機能マーケットプレイスに改ざんされた「Claude Code」拡張（10月29日・約11時間）：SSHバックドアの確認方法
Cursorは2026年10月29日（30日更新）の告知で、Anthropicの名前（Anthropic.claude-code）で公開された拡張機能の改ざん版（2.1.312と2.1.313、Windows・macOS）が、10月29日の太平洋時間で約午前2時27分から午後1時35分まで、Cursorの拡張機能マーケットプレイスで配布されていたと発表した。Cursorは、これらの版はAnthropicが開発したものではないとしている。同社の説明では、コードは拡張機能の読み込み時に動き、端末とユーザーの情報を集め、攻撃者の管理するSSH公開鍵（ラベル svc-telemetry）を追加し、SSHの有効化とリバーストンネルを試み、macOSではLaunchAgent、Windowsではタスクスケジューラ（予備でスタートアップ）で常駐の設定を入れ、端末情報を攻撃者へ送った。SSHの有効化は多くの端末で失敗するため、攻撃者がトンネル経由でログインすることはできなかったはずだとしている。Cursorは該当版の削除、マーケットプレイスの一時停止、他の拡張機能の監査、鍵のローテーションを行い、攻撃者のサーバーは機能していないとしている。他の版や公式の配布への影響を示す証拠はないとしている。BleepingComputerは最大約5,000人の開発者が影響を受けた可能性があると報じた。当サイトの結論：10月29日にCursorでこの拡張機能を入れた・更新した人は、鍵と常駐の設定を確認し、その端末から届く秘密情報を入れ替える。
セキュリティの棚卸し：複数サーバーを個人運用する人が見落とす点検7項目
複数サーバーを個人運用する人の事故は「足りない対策」より「把握していない状態」が原因になりがち。守る境界は鍵を置いたPC。2FAはメール→ドメイン→課金の順に優先、SSH鍵は「どの鍵でどのサーバーに入れるか」を表にして重複・未使用・用途が消えた登録を消す、平文パスワードはクラウドから消す、是正は可逆に1つずつ、台帳に機密は書かない。派手な新ツールより棚卸しが先。
SSH鍵の最小権限：侵害されるおそれのある一時環境に本番のroot鍵を置かない
一時的で侵害され得る環境（GPU pod・CIランナー・使い捨てVM）から本番へroot鍵を登録すると、その環境が侵害された時点で本番にroot権限で入られる。対策＝一時環境にroot鍵を置かない／使わなくなったら消す／再度必要なら非rootユーザー＋command制限鍵（command="..." restrict）で操作を1つに限定。使い回している鍵は最も重要な資産として扱い、1つ漏れたら全サーバーに入られる構成を作らない。