JVNVU#91545757
OpenSSLの64ビットARM向けAES-XTS実装における入力バッファ外読み込みの脆弱性（Security Advisory [20th April 2023]）

OpenSSL Projectより、OpenSSL Security Advisory [20th April 2023]（Input buffer over-read in AES-XTS implementation on 64 bit ARM (CVE-2023-1255)）が公開されました。

• OpenSSL 3.0.0
• OpenSSL 3.0.8
• OpenSSL 3.1.0

OpenSSL Projectより、OpenSSL Security Advisory [20th April 2023]（Input buffer over-read in AES-XTS implementation on 64 bit ARM (CVE-2023-1255)）が公開されました。

深刻度 - 低（Severity: Low）
OpenSSLの64ビットARMプラットフォーム用AES-XTS復号処理の実装に、暗号文のサイズが5の倍数プラス4バイト（例えば、144バイトや1024バイト）の場合に暗号文バッファの末尾を超えて読み込みをする脆弱性があります。

64ビットARMプラットフォーム上でAES-XTSアルゴリズムを使用するアプリケーションにおいて、攻撃者が暗号文バッファのサイズとメモリアドレスを制御できる場合、アプリケーションがクラッシュさせられ、サービス運用妨害（DoS）攻撃を受ける可能性があります。

修正を適用する
開発者によると、本脆弱性の深刻度は低であるため本脆弱性の修正に対応するリリースは提供せず、修正内容は通常の次期リリースに含まれる予定となっています。なお、本脆弱性の修正は以下のコミットで行われています。

• commit bc2f61ad（3.1ユーザ向け）
• commit 02ac9c94（3.0ユーザ向け）