JVNVU#91445763
OpenSSL に複数の脆弱性

OpenSSL には複数の脆弱性が存在します。

• OpenSSL

2015年6月11日、OpenSSL Project より OpenSSL Security Advisory [11 Jun 2015] が公開されました。
アドバイザリによると、次に挙げる脆弱性が修正され、修正版の OpenSSL 1.0.2b、1.0.1n、1.0.0s、0.9.8zg がリリースされています。
なお、 CVE-2014-8176 については、2014年6月の時点に修正されていましたが、本アドバイザリで公表されました。

深刻度 - 中 (Severity: Moderate)

• Malformed ECParameters causes infinite loop (CVE-2015-1788)
• Exploitable out-of-bounds read in X509_cmp_time (CVE-2015-1789)
• PKCS7 crash with missing EnvelopedContent (CVE-2015-1790)
• CMS verify infinite loop with unknown hash function (CVE-2015-1792)

• Race condition handling NewSessionTicket (CVE-2015-1791)
• Invalid free in DTLS (CVE-2014-8176)

• DHE man-in-the-middle protection (Logjam) (CVE-2015-4000)

想定される影響は脆弱性により異なります。中間者攻撃により TLS 通信で 512 ビット輸出グレード暗号を使用させられたり (Logjam Attack)、サービスの異常終了や無限ループによってサービス運用妨害 (DoS) 攻撃を受けたりする可能性があります。

アップデートする
本脆弱性を修正した次のバージョンの OpenSSL が提供されています。開発者が提供する情報をもとに、最新版へアップデートしてください。

• OpenSSL 1.0.2b
• OpenSSL 1.0.1n
• OpenSSL 1.0.0s
• OpenSSL 0.9.8zg