VyOS／Debian の深刻な脆弱性 CVE-2025-30095 が FIX：SSH キーの想定外の再利用

VyOS and Debian Systems Vulnerable to Man-in-the-Middle Attacks (CVE-2025-30095)

2024/04/02 SecurityOnline — 人気の OSS ネットワーク OS である VyOS に、深刻な脆弱性 CVE-2025-30095 が発見された。この欠陥は、Dropbear ベースのコンソール・サーバでのプライベート SSH キーの再利用に起因し、アクティブな中間者 (MITM) 攻撃を可能にするものだ。なお、この脆弱性を報告したのは、Viasat の Morgan Jones である。

VyOS のアドバイザリには、「コンソール・サーバに関連付けられる SSH セッションは、アクティブな中間者攻撃に対して脆弱である。この問題は、ステム SSH 接続には影響せず、コンソール・サーバ・ポートへの SSH 接続にのみ影響する」と記されている。

この問題の原因は、軽量 SSH デーモンである Dropbear が、VyOS／Debian ベースのシステムに対して、live-build によりコンフィグ／統合される方法にある。具体的に言うと、イメージの作成中に、Dropbear ホスト・キーが事前に生成され、対象となるイメージに埋め込まれる。その結果として、同じイメージから展開される全システムが、コンソール・サーバに対して同一の SSH キーを共有することになる。

つまり、ターゲットが使用している VyOS イメージ (パブリック・リポジトリなど) を知っている攻撃者であれば、埋め込まれたキーの抽出が可能となり、以下の操作を実行できる。

  • SSH キー交換の傍受
  • サーバの偽装
  • トラフィックをリアルタイムで復号／操作

VyOS のアドバイザリは、「同じイメージから展開された、すべてのシステムにおいて、同一の秘密キーが使用されていた。トラフィックを傍受／変更できる攻撃者であれば、サーバの偽装も可能となる」と警告している。

影響を受ける対象は、コンソール・サーバ・サービスだけであり、デフォルトで OpenSSH を使用し、イメージ作成中の保護が強化されている、プラ​​イマリ VyOS SSH デーモンは影響を受けない。典型的に脆弱なコンフィグレーションとは、以下のようなものとなる：

vyos@vyos# show service 
 console-server {
     device ttyS1 {
         speed 115200
         ssh {
             port 3000
         }
     }
 }
}

この脆弱性は、VyOS バージョン 1.3〜1.5 に影響を及ぼす。また、イメージをパックする前に埋め込まれた SSH キーを削除するための、セーフガードを持たずに Dropbear + live-build を使用する、すべてのシステムにも影響する。

この問題は、VyOS に固有のものではなく、Dropbear と live-build を合わせて使用する、すべての Debian ベース・システムにも影響を及ぼす可能性がある。

現状における VyOS は、以下のように修正されている：

  • イメージをパッケージ化する前に Dropbear キーを削除する、独自のカスタム・セーフガードを追加。
  • キーが存在しない場合には、最初の起動時に、新しいキーを生成するようコンフィグ・スクリプトを更新。

影響を受けるシステムのユーザーは、以下のように簡単に修正できる：

sudo rm -f /etc/dropbear/key
sudo rm -f /etc/dropbear-initramfs/key
sudo dropbearkey -t rsa -s 4096 -f /etc/dropbear_rsa_host_key

上記の操作の後に、サービスの再ロード、もしくは、システムの再起動を行う。

安全対策が講じられている、VyOS 1.4／1.5 の最新ローリング・リリースへのアップグレードが推奨される。

VyOS／Debian の脆弱性 CVE-2025-30095 が FIX とのことです。この脆弱性が悪用されて MitM (Man-in-the-Middle) 攻撃が発生した場合、SSH 通信が盗聴／改ざんされ、ログイン情報や機密データが漏洩するおそれがあります。ご利用のチームは、十分にご注意ください。よろしければ、カテゴリ _OpenSource／MitM で検索も、ご利用下さい。