OpenSSLの更新版公開、複数の脆弱性を修正

悪用された場合、リモートの攻撃者にシステムを制御されたり、中間者攻撃を仕掛けられてトラフィックの暗号を解除されたりする恐れがある。

» 2016年05月06日 07時43分公開

OpenSSLのアドバイザリー

　OpenSSLプロジェクトチームは5月3日、OpenSSLの更新版となるバージョン1.0.1tと1.0.2hを公開し、複数の脆弱性に対処した。

　OpenSSLのセキュリティ情報によると、今回の更新版では危険度「高」の脆弱性2件、「低」の脆弱性4件を修正した。

　悪用された場合、リモートの攻撃者にシステムを制御されたり、中間者攻撃を仕掛けられてトラフィックの暗号を解除されたりする可能性が指摘されている。

　米セキュリティ機関SANS Internet Storm Centerによれば、3日時点でこの脆弱性を突く攻撃が出回っている形跡はないものの、中間者攻撃の脆弱性についてはコンセプト実証コードが公開されたという。

公開された中間者攻撃の脆弱性のPoC

（更新）Apache Strutsに危険度「高」の脆弱性、攻撃実証コードも公開
悪用された場合に任意のコードを実行される恐れがある。
NTPに複数の脆弱性、更新版で修正
悪用された場合、サービス妨害（DoS）攻撃を仕掛けられたり認証をかわされたり、設定を変更されたりする恐れがある。
「Badlock」の脆弱性修正パッチ、SambaとMicrosoftが公開
悪用された場合、中間者攻撃やサービス妨害（DoS）攻撃攻撃を仕掛けられる恐れがある。
OpenSSLの更新版公開、「DROWN」の脆弱性に対処
OpenSSL 1.0.2gと1.0.1sでは「DROWN」と呼ばれる新たな脆弱性が発覚したことを受け、SSLv2をデフォルトで無効にする措置を講じた。