OpenSSLにサービス運用妨害（DoS）の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月9日、OpenSSLにおけるサービス運用妨害（DoS）の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。

OpenSSL 3.2
OpenSSL 3.1
OpenSSL 3.0
OpenSSL 1.1.1

　OpenSSLには、TLSv1.3セッションの処理時にメモリを多量に消費しサービス運用妨害（DoS）状態となる問題（CVE-2024-2511）がある。

　本脆弱性は、SSL_OP_NO_TICKETオプションを使用している場合に発生する可能性があり、early_dataが設定され、anti-replay機能が有効になっている場合は発生しない。また本脆弱性は、TLSv1.3をサポートするTLSサーバのみ影響を受け、TLSクライアント、OpenSSLのFIPSモジュールには影響がない。

　OpenSSL Project では2024年4月9日現在、修正版を提供していないが、下記バージョンで本脆弱性を修正予定。

OpenSSL 3.2.2（3.2系ユーザ向け）
OpenSSL 3.1.6（3.1系ユーザ向け）
OpenSSL 3.0.14（3.0系ユーザ向け）
OpenSSL 1.1.1y（1.1.1プレミアムサポートカスタマ向け）