脆弱性スキャンで脆弱性の可能性が報告されている場合に ESXi 上の openSSH バージョンを見つける方法

Products

• VMware vSphere ESXi

Issue/Introduction

免責事項：これは英文の記事「Finding the openSSH version on ESX when a vulnerability scan is reporting possible vulnerabilities」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

脆弱性スキャン (Qualsys、Tenable、Nessus など) 中に、ESXi 上の openSSH に脆弱性が報告されることがあります。openSSH の脆弱性の例は次のとおりです。

• CVE-2016-20012
• CVE-2021-36368
• CVE-2020-15778

スキャナーからのレポートを受け取った後、ESXi 上の openSSH バージョンを確認すると、潜在的な脆弱性に関する公開 CVE ドキュメントを読む時に、ホストが影響を受ける可能性があるかどうかを明確にするのに役立ちます。

Cause

この動作は主に、脆弱性スキャナーが構成ファイルやその他の静的ファイルを検出してハードコードされたバージョンのみを参照し、インストールされたパッチのバージョンを見落としていることが原因です。

Resolution

openSSH のバージョンを検証するには、次のコマンドを使用できます。

ssh -V

出力は次のようになります。これには、メジャー バージョン (9.8) だけでなく、適用されたパッチ (この場合は p1) も表示されます。

OpenSSH_9.8p1, OpenSSL 3.0.15 3 Sep 2024


Additional Information

openSSH の脆弱性に関するレポートを受け取った場合は、次の手順を実行します。

1. CVE の公開ドキュメントを確認して、影響を受けるバージョンを検証します。
2. 上記のコマンド (resolution セクションを参照) をホスト上の openSSH バージョンに対して実行します。
3. CVE の公開ドキュメントに従ってバージョンが修正バージョンになっている場合は、セキュリティチームまたは脆弱性スキャナーベンダーと協力して、誤検知の可能性に備えて更新できるようにします。
4. 脆弱なバージョンの場合は、Broadcom サポートに連絡してさらなるサポートを受けてください。