Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「OpenSSL」に秘密鍵漏洩する脆弱性「Heartbleed」が存在 - エクスプロイトも流通

SSLやTLSによる暗号化通信をはじめ、暗号化機能で利用されているライブラリ「OpenSSL」に深刻な脆弱性が見つかった。

「OpenSSL」が規定で組み込まれている「heartbeat拡張」に重要な情報が外部へ漏洩する脆弱性「CVE-2014-0160」が明らかとなったもの。

脆弱性は、「OpenSSL 1.0.1」から「同1.0.1f」までと、「同1.0.2-beta」から「1.0.2-beta1」までに存在。同拡張の実装上の問題であり、SSLおよびTLSのプロトコルそのものには問題ない。

同脆弱性が悪用されると、リモートから実行中のメモリが取得されるおそれがある。攻撃者は、1度の攻撃で64Kバイトのデータを取得可能であるとされ、任意の回数を繰り返すことでより多くの情報を入手されるおそれがある。

証明書の秘密鍵をはじめ、ユーザー名、パスワードをはじめ、重要な情報が漏洩するおそれがある。すでに脆弱性のエクスプロイトコードが入手可能な状況だという。

同拡張の名前や情報が漏洩するその特徴から、心臓が鼓動の度に失血する様子にたとえられ、今回の不具合は「Heartbleed」と名付けられ、セキュリティ機関などは注意を呼びかけている。

脆弱性を回避するには、同拡張を利用しないようオプションを有効にして再コンパイルするか、脆弱性を解消したバージョンへアップデートする必要がある。

OpenSSL Projectでは、脆弱性を修正した最新版「同1.0.1g」を公開。「同1.0.2」に関しては、「同1.0.2-beta2」で対応する予定。またOpenSSLを実装しているディストリビューションなどもアップデートの提供を開始している。

(Security NEXT - 2014/04/10 ) このエントリーをはてなブックマークに追加

PR

関連記事

全日空のiOSアプリに脆弱性 - 中間者攻撃受けるおそれ
「Flash Player」狙いのゼロデイ攻撃、3カ月前から準備か - 給与関連書類を偽装、C&Cは偽求人サイト
CMSの「Zenphoto」にコード実行の脆弱性 - 最新版で修正
「BIND 9」が意図せずオープンリゾルバとなるおそれ - 設定の確認を
MS、AMDプロセッサ向けに「Spectre」緩和策を追加
「Chrome」に重要度「高」の脆弱性 - アップデートがリリース
「OpenSSL」にDoS攻撃受ける脆弱性 - 修正は次期アップデートで
MS、6月の月例パッチをリリース - 脆弱性1件が公開済み、悪用は未確認
Windows版LINEにリンクでDLL読込パスを指定できる脆弱性 - すでに修正済み
スマートデバイス向け「VMware AirWatch Agent」に深刻な脆弱性