OpenSSHのクライアントコードに情報流出の脆弱性、秘密鍵が流出する恐れも

　リモートアクセスなどでSSHプロトコルを使用するためのソフト「OpenSSH」において、情報流出の脆弱性があったとする米CERTの報告を受け、OpenSSHは14日、セキュリティ修正版「OpenSSH 7.1p2」を提供開始した。

米CERTによるOpenSSHの脆弱性ノート

　OpenSSHのリリースノートによると、OpenSSHクライアントコードのバージョン5.4～7.1p1において、実験的にSSH接続のローミング（再開）機能が実装されており、デフォルトの状態で有効になっていたという。ただし、サーバーコード側には同機能は実装されておらず、悪意のあるサーバーを利用して、秘密鍵を含んだクライアントのメモリ内容をそのサーバーに流出させる可能性があったとしている。

　また、CERTやOpenSSHでは、脆弱性を対策したバージョンのOpenSSHを導入できない場合、「UseRoaming」機能を無効にする回避策を案内している。