30秒で判断
対応すべき人:
- golang.org/x/crypto v0.51.0以前を使用するGoアプリケーションの開発者・運用者
golang.org/x/crypto/ssh/knownhostsパッケージを使用してSSH接続を行うアプリケーション
対応不要な人:
- golang.org/x/crypto v0.52.0以降を使用している
- SSHのknownhosts機能を使用していない
確認コマンド:
# バージョン確認
grep "golang.org/x/crypto" go.mod
# knownhostsパッケージの使用確認
grep -r "knownhosts" --include="*.go" .
概要
golang.org/x/crypto/ssh/knownhostsパッケージが、known_hostsファイル内の@revokedエントリのステータスを適切に強制しない脆弱性があります。
本来、@revokedマークされた鍵は接続を拒否すべきですが、この脆弱性により失効済みの鍵での認証が通過してしまう可能性があります。侵害されたまたは失効させた鍵でのSSH認証バイパスに悪用される恐れがあります。
SSH鍵管理において@revokedによる失効管理を行っている環境では、セキュリティポリシーが意図せず回避されます。
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| golang.org/x/crypto/ssh/knownhosts | Google / Go Team | v0.51.0以前 |
修正バージョンと回避策
推奨対応: golang.org/x/crypto v0.52.0へのアップデート。
go get golang.org/x/crypto@v0.52.0
go mod tidy
関連リンク
データソース: GitHub Advisory Database, NVD (NIST)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。