サイバーセキュリティ

SSH接続の安全性を低下させる攻撃手法Terrapin Attackについて

SSH接続においてハンドシェイク中のシーケンス番号操作を可能とする攻撃手法「Terrapin Attack」が報告されています。ChaCha20-Poly1305またはCBCモードを用いたEncrypt-then-MACを利用するシステムが影響を受け、EXT_INFOメッセージが削除されることで安全性が低下する可能性があります。アップデートや暗号方式の変更による対策が必要です。

この発表の要点

企業・自治体への影響

情報システム部門や開発部門において、SSHプロトコルを利用している自社システムや製品が対象となる暗号方式を使用している場合、セキュリティ低下のリスクが生じます。

対応すべきこと

対象部門： 情シス

対応期限：速やかに確認

基本データ

企業・団体 JPCERT/CC / IPA
業界 IT・ソフトウェア
発表日 2023-12-26
分類 サイバーセキュリティ

発表された内容

公開日：2023/12/26 最終更新日：2026/08/26

JVNTA#95077890
SSH接続の安全性を低下させる攻撃手法Terrapin Attackについて

SSH接続においてハンドシェイク中にシーケンス番号の操作を可能とする攻撃手法「Terrapin Attack」が報告されています。

以下のいずれかの暗号方式を利用してSSHプロトコルを実装しているシステム

ChaCha20-Poly1305
CBCモードを用いたEncrypt-then-MAC

研究チームは、Terrapin Attackの影響を受けるかどうかをチェックできるツールをGitHubリポジトリで公開しています。

通常、SSH接続時のハンドシェイク処理では、シーケンス番号順にパケットがやり取りされ、途中のパケットが削除された状態で次のパケットを受信すると、シーケンス番号が一致しないことが検出され、接続が中断されます。
Terrapin Attackでは、SSH接続のハンドシェイク通信を傍受および改ざん可能な攻撃者によりハンドシェイク中にIGNOREメッセージが挿入されると、シーケンス番号の不整合が正常に検出できなくなります。その結果、サーバから送信されるEXT_INFOメッセージを削除することも可能になります。EXT_INFOメッセージはSSHのセキュリティを向上させる拡張機能を含むため、EXT_INFOが削除されることにより、SSHの安全性を低下させられる可能性があります。

EXT_INFOメッセージが削除されることによりSSH接続のセキュリティ機能が無効化され、安全性が低下する。

アップデートする
使用するSSH実装のアップデート情報を注視し、パッチやアップデートを適用してください。

暗号方式を変更する
SSH実装で利用している暗号方式を、本手法の影響を受けない、AES-GCMなどのアルゴリズムに変更してください。

ベンダ
ステータス
ステータス最終更新日
ベンダの告知ページ

富士通株式会社

該当製品あり

2026/08/26

富士通株式会社 の告知ページ

Terrapin Attack

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

JVN iPedia

2026/08/26
富士通株式会社のベンダステータスが更新されました

Copyright (c) 2000-2026 JPCERT/CC and IPA. All rights reserved.

出典: jvn@jvn.jp
URL: https://jvn.jp/ta/JVNTA95077890/

時系列

この事例から確認すべきポイント

本件はSSHプロトコルの実装における脆弱性および攻撃手法「Terrapin Attack」に関する注意喚起です。ChaCha20-Poly1305やCBCモードを用いたEncrypt-then-MACを使用するSSH実装において、ハンドシェイク通信の改ざんによりEXT_INFOメッセージが削除され、セキュリティ機能が無効化される恐れがあります。現時点で取得できた本文からは具体的な被害件数等の詳細を確認できませんでしたが、詳細は公式出典をご確認ください。実務においては、利用しているSSH実装のアップデート情報やパッチの適用、影響を受けないAES-GCMなどの暗号方式への変更といった早急な技術的対応が求められます。システム管理者や情報システム部門は、自社製品・サービスの該当有無を確認し、速やかに脆弱性対策を講じる必要があります。

公式出典

更新履歴

公開日: 2026-08-26

関連事例

自社のプレスリリースをPRazeに掲載しませんか？

無料でプレスリリースを掲載する