Shellshock: Linux や Unix、Mac OS X で新たに確認された脆弱性とその対策
セキュリティ研究者によって新たなソフトウェアの脆弱性が確認されました。「Bash Bug」または「Shellshock」とも呼ばれるこの脆弱性は、セキュリティ業界では、GNU Bash におけるリモートコード実行の脆弱性 (GNU Bash Remote Code Execution Vulnerability) (英語 外部リンク) と呼ばれています。攻撃者がこの脆弱性の悪用に成功すると、標的のコンピュータを制御できる恐れがあります。
この脆弱性は、 Bash と呼ばれるコンピュータソフトウェアに存在します。Bash は Linux や Unix、またはその各種バージョンを実行するコンピュータに搭載されている共通コンポーネントです。Linux や Unix は、世界中でウェブサイトを運用しているサーバーコンピュータで広く使用されています。また、Apple 社のオペレーティングシステムである OS X を実行しているすべての Mac コンピュータも影響を受ける可能性があります。Microsoft Windows を実行しているコンピュータは、この脆弱性の影響を直接は受けませんが、ウェブサーバーが侵害されるとリスクにさらされる可能性があります。
この脆弱性が狙われる格好の標的
標的にされやすいのは次の 3 つです。
- 攻撃の標的になる可能性が最も高いのは、パッチ未適用の公開ウェブサーバーです。
- パッチ未適用の Mac OS X を実行しているサーバーやデスクトップパソコン、ノートパソコンも攻撃に対して脆弱です。[注: Mac でノートン製品が実行されていれば (ノートン製品の一覧は以下を参照してください)、この脆弱性の悪用から自動的に保護されます。] また、Microsoft Windows を実行しているコンピュータは、Bash を実行しないためこの脆弱性の影響は受けません。
- 多くのルーターや Linux または Unix 系の OS を実行しているその他のインターネット接続デバイスも影響を受ける可能性があります。
Bash とは?
Bash とは、ユーザーが入力したコマンドを、コンピュータが理解できる処理に変換するためのソフトウェアです。かつてはユーザーが直接コマンドを入力していましたが、今日ではユーザーインターフェースをクリックするだけですみます。しかし、多くのウェブサイトでは、こういったコマンドをまとめたスクリプトを使用して、基盤となるコンピュータとのやり取りを自動化しています。Unix または Linux コンピュータでは、以下のようなプロンプトを表示するウィンドウにコマンドを入力して Bash とやり取りをします。
$ []
Bash の脆弱性により、攻撃者は正規のセキュリティを迂回して不正なコマンドを追加できるようになり、データを盗んだりウェブサーバーや他のデバイスを制御したりする恐れがあります。
まだ悪用の影響はさほど拡大していない
これまでは、脆弱性の悪用が拡大していることを示す有効な証拠はありません。しかし、セキュリティ研究者がこの脆弱性を明らかにしたため、ネット犯罪者がこれに便乗するかもしれません。この後の展開は、ハッカーがはびこる前に、ソフトウェア会社がパッチや更新を直ちに作成して実装できるかどうかにかかっています。
Shellshock の影響
ウェブサーバーは攻撃の標的になる可能性が高いため、ウェブサイトの所有者は攻撃に備えて、コンピュータに速やかにパッチを適用しているはずです。残念なことに、攻撃を受けたウェブサイトを特定するのは難しいため、一般的な予防策として、オンライン中のアカウントで怪しい振る舞いがないか見逃さないようにして、電子メールや銀行口座、ソーシャルネットワークなど、重要なアカウントのパスワードを定期的に変更することをお勧めします。
会社の公式ウェブサイトには直ちにパッチを適用する必要があります。詳しくは、セキュリティレスポンスブログを参照してください。
Windows パソコンはこの脆弱性の影響は受けません。ただし、Linux を実行しているウェブサーバーが侵害されると、保存している個人情報が影響を受ける可能性があります。Linux または Unix (Mac OS) を実行している個人用のデバイスやコンピュータでは、特にパッチが適用されていない場合、影響を受ける可能性が高くなります。
Shellshock 攻撃に対する予防策
脆弱性が悪用されないようにネット犯罪を阻止する責任の大半はソフトウェア会社とウェブサイト所有者にありますが、個人ユーザーも、使用しているすべてのソフトウェアを常に最新にしておくことが極めて重要です。最新版には通常、データを安全な状態にしておくためのセキュリティパッチが含まれているからです。
安全を守るための予防策として以下のことを推奨します。
すべてのユーザー向け:
- アカウントが侵害された可能性を示す不審な振る舞いがないかどうか、個人情報を保存しているすべてのアカウントに注意を払うことをお勧めします。
- 電子メールやソーシャルネットワークサイト、銀行口座など、重要なアカウントのパスワードの変更を検討してください。強力なパスワードを作成するには、ノートン ID セーフのパスワードジェネレータ(英語) をお使いいただけます。重要な金融機関のウェブサイトでは 2 要素認証を有効にしてください。Merrill Lynch、eBay、PayPal、E*TRADE を利用している場合は、Symantec VIP アプリ(英語) を使用できます。
- 自宅で使用しているルーターやその他のウェブ対応デバイスには、パッチが提供されたら直ちに適用してください。適用するパッチやソフトウェアは信頼できるサイトからのみダウンロードするようにして、Shellshock の報告を悪用する詐欺に注意してください。ソフトウェアのダウンロードを勧めるスパムメールや不審なリンクなどに気を付けましょう。
Mac ユーザー向け:
- ノートンの Mac 向けセキュリティ製品は、この脆弱性を悪用しようとする攻撃から保護します。対応している製品は以下の一覧を参照してください。セキュリティソフトウェアをインストールしていない場合は、最新のシンプルなマルチデバイス、マルチ OS ソリューションであるノートン セキュリティをお試しください。
- Apple 社からの更新を見逃さないようにして、パッチを適用してください。
ノートンの Mac OS X 向けセキュリティ製品:
Windows パソコンは、この脆弱性を悪用する攻撃の影響を直接受けることはありません。
詳しくは、シマンテックセキュリティレスポンスブログの「Shellshock: Bash Bug 脆弱性について知っておくべきこと」を参照してください。