OpenSSL にサービス運用妨害(DoS)の脆弱性 | ScanNetSecurity
2024.06.18(火)

OpenSSL にサービス運用妨害(DoS)の脆弱性

独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は5月17日、OpenSSLにおけるサービス運用妨害(DoS)の脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性

 独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は5月17日、OpenSSLにおけるサービス運用妨害(DoS)の脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。影響を受けるシステムは以下の通り。

OpenSSL 3.3
OpenSSL 3.2
OpenSSL 3.1
OpenSSL 3.0
※OpenSSL 1.1.1および1.0.2は本脆弱性の影響を受けない

 OpenSSLには、長すぎるDSA公開キーまたはDSAパラメータをEVP_PKEY_param_check()関数またはEVP_PKEY_public_check()関数でチェックする際に時間を要する問題があり、これらの関数を使用し、信頼できないソースから取得したDSAキーまたはパラメータをチェックするアプリケーションがサービス運用妨害(DoS)状態となる可能性がある。

 OpenSSL Projectでは5月17日現在、本脆弱性の修正のみを目的とした修正は提供しておらず、OpenSSL gitリポジトリにて、下記のcommitを提供している。次回のリリースで今回のパッチを反映予定とのこと。

commit 53ea0648(3.3系ユーザ向け)
commit da343d06(3.2系ユーザ向け)
commit 9c39b385(3.1系ユーザ向け)
commit 3559e868(3.0系ユーザ向け)

《ScanNetSecurity》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×