ニュース
OpenSSLの更新版公開、2件の脆弱性を修正
危険度「高」を含む2件の脆弱性が修正されたほか、TLSプロトコルに発覚した「Logjam」の脆弱性の回避策が実装された。
OpenSSLプロジェクトチームは1月28日、予告通りにOpenSSLの更新版となるバージョン1.0.2fと1.0.1rを公開し、2件の脆弱性に対処したことを明らかにした。
2件の脆弱性のうち、「DH(Diffie-Hellman)小サブグループ」の脆弱性は危険度「高」に分類されている。OpenSSLやCERT/CCのセキュリティ情報によると、OpenSSLでは従来は「安全な」素数に基づくDHパラメータのみが生成されていたが、バージョン1.0.2からはX9.42方式のパラメータファイル生成がサポートされた。しかしこのファイルに使われる素数は「安全」でなく、攻撃者に鍵を取得されてしまう恐れがある。
さらにこの素数は、プロセスが続く間はデフォルトで再利用される設定になっており、場合によっては攻撃者にTLSサーバの非公開DH指数を割り出され、トラフィックの暗号を解除されたりする可能性もある。
もう1件の脆弱性は「無効化されたSSLv2暗号がブロックされない」というもので、危険度「低」と位置付けている。
さらに、TLSプロトコルに2015年に発見された中間者攻撃の脆弱性(通称「Logjam」)に関連して、暗号強度を強めることによってこの脆弱性を回避する対策も実装された。
関連記事
- OpenSSL、更新版の公開を予告 深刻な脆弱性を修正
更新版は日本時間の1月28〜29日の間に公開され、2件の脆弱性を修正する。 - TLSに脆弱性「Logjam」発覚、主要ブラウザやメールサーバに影響
「FREAK」と同様、1990年代の米国の暗号輸出規制に起因する脆弱性が新たに発覚した。 - OpenSSL、深刻な脆弱性を修正した更新版公開
攻撃者が代替チェーン証明書を偽造できてしまう恐れがあり、通信の傍受やデータの改ざんなどの攻撃に利用される可能性がある。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.