FreeBSD Projectのインフラに不正侵入、原因はSSHキーのリーク？

　FreeBSD Projectは11月17日、同プロジェクトの管理下にあるマシン2台が不正侵入を受けていたこと発表した。エンドユーザーが危険な状態になるような改変はこれまでのところ確認しておらず、実際に影響が出たという情報も確認していないとのことだが、詳細を読んで対応を決定するよう奨励している。

　これは、17日にFreeBSD.orgのセキュリティ担当トップがメーリングリストで報告したもの。それによると、11月11日にfrebsd.orgの運用クラスタを構成するマシンのうち2台で不正侵入が検知されたという。これらのマシンは不正侵入の発覚後、問題点や影響を分析するためオフラインに隔離されているとのこと。また、残りのマシンについても被害を防ぐためにオフラインにされているという。

　問題となったマシンは、レガシーなサードパーティパッケージ用のビルド環境を提供するノードとして使われていたという。侵入の原因としては、これらのマシンへのアクセス権限を持つ開発者からSSHキー情報が漏洩したのではないかと予想されており、FreeBSD本体にある脆弱性が利用された可能性は少ないという。侵入された日については9月19日まで遡る可能性があるという。

　今回の侵入においては、FreeBSDのベースパッケージには影響はないとのこと。いっぽう、サードパーティのパッケージについては、侵入者に対し攻撃を行うのに充分なアクセス権限が与えられていたというが、分析を行った後でも何らかの攻撃が行われた証拠は確認されなかったという。そのため、9月19日から11月11日までの間にサードパーティパッケージをインストールしたりアップデートしていない場合は心配する必要はないとしている。Subversionレポジトリでシステム更新を行っているユーザーにも影響はないとのこと。現在ftp.FreeBSD.orgで公開されているパッケージやリリースについては不正な改変がないことを確認しており、次期版の9.1-RELEASEのパッケージセットについては、いったん削除して再度ビルドを行うという。

　今回のインシデントを受け、プロジェクトではセキュリティ対策強化のために運用に変更を加えるという。この一部として、レガシーサービスを迅速に非推奨にしていくという。たとえば、堅牢なSubversionの利用法を奨励するため、cvsup経由でのFreeBSDソースの配布を非推奨とするなどの例を挙げている。

　利用者に対する推奨事項として、すでに非推奨となっているcvsup/csup方式での更新を中止すること、Ports更新にcvsup/csupを利用するユーザーについてはportsnap(8) を利用すること、ソースの更新にcvs/anoncvs/cvsup/csupを利用するユーザーについてはfreebsd-updateやSubversionを利用すること、portsnapを利用する場合はportsnap fetch && portsnap extractコマンドを使って最新版を入手することなどが挙げられている。

FreeBSD.org
http://www.freebsd.org/