JVNVU#92530096
OpenSSLのNID_undefを使用したカスタム暗号におけるNULL暗号化の脆弱性

OpenSSLのNID_undefを使用してカスタム暗号を作成した場合、NULL暗号化が発生する可能性があります。

• OpenSSL 3.0.0から3.0.5
  • NID_undefを使用してEVP_CIPHER_meth_new()関数を呼び出し、その後、暗号化／復号化初期化関数の呼び出しを使用するアプリケーションだけが影響を受けます
  • SSL/TLSのみを使用するアプリケーションは、影響を受けません

OpenSSL Projectより、OpenSSL Security Advisory [11 October 2022]が公開されました。
OpenSSLには、次の脆弱性が存在します。
深刻度 - 低（Severity: Low）
カスタム暗号作成をサポートするEVP_CIPHER_meth_new()関数および関連する関数にて、カスタム暗号を誤って処理することに起因しNULL暗号化が発生する問題（CVE-2022-3358）が存在します。
対象の関数は既に廃止予定となっているため、OpenSSLの開発者は、アプリケーション作成時にカスタム暗号実装のため新しいプロバイダメカニズムの利用を推奨しています。

NULL暗号化が発生すると、暗号文として平文が出力されます。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、本脆弱性への対策版として次のバージョンをリリースしています。

• OpenSSL 3.0.7