注目★★★★★Hacker News
OpenSSH 10.5、エージェント・転送の脆弱性修正と ECC 必須化
30秒で把握
- 1OpenSSH 10.5 リリース、エージェントロック時の遠隔操作脆弱性など複数セキュリティ修正
- 2AI モデルによる報告増加で OpenSSH チームがリリース頻度を加速・修正迅速化
- 3libcrypto で ECC・NISTP521 サポート必須化・Portable OpenSSH は即座に対応検証が必要
要約
OpenSSH 10.5 が 8 月 11 日にリリースされた。セッションバインド拡張の相互作用を悪用し、ロック中のエージェントを遠隔から操作する脆弱性、クライアントの use-after-free、authorized_keys 制限の適用漏れなど複数の脆弱性を修正した。AI モデルによる報告が増加する中、OpenSSH チームはより頻繁にリリースを行い、修正を迅速にユーザーに届ける方針に転換した。
あなたへの影響
OpenSSH を運用する場合は本バージョンへの更新を優先実施すべき。
推奨：特にエージェント転送・リモートフォワーディングを使用する環境では、セッションバインド脆弱性によるキー盗聴リスクが顕在化するため、早期適用が必須となる。