Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「OpenSSL」に秘密鍵漏洩する脆弱性「Heartbleed」が存在 - エクスプロイトも流通

SSLやTLSによる暗号化通信をはじめ、暗号化機能で利用されているライブラリ「OpenSSL」に深刻な脆弱性が見つかった。

「OpenSSL」が規定で組み込まれている「heartbeat拡張」に重要な情報が外部へ漏洩する脆弱性「CVE-2014-0160」が明らかとなったもの。

脆弱性は、「OpenSSL 1.0.1」から「同1.0.1f」までと、「同1.0.2-beta」から「1.0.2-beta1」までに存在。同拡張の実装上の問題であり、SSLおよびTLSのプロトコルそのものには問題ない。

同脆弱性が悪用されると、リモートから実行中のメモリが取得されるおそれがある。攻撃者は、1度の攻撃で64Kバイトのデータを取得可能であるとされ、任意の回数を繰り返すことでより多くの情報を入手されるおそれがある。

証明書の秘密鍵をはじめ、ユーザー名、パスワードをはじめ、重要な情報が漏洩するおそれがある。すでに脆弱性のエクスプロイトコードが入手可能な状況だという。

同拡張の名前や情報が漏洩するその特徴から、心臓が鼓動の度に失血する様子にたとえられ、今回の不具合は「Heartbleed」と名付けられ、セキュリティ機関などは注意を呼びかけている。

脆弱性を回避するには、同拡張を利用しないようオプションを有効にして再コンパイルするか、脆弱性を解消したバージョンへアップデートする必要がある。

OpenSSL Projectでは、脆弱性を修正した最新版「同1.0.1g」を公開。「同1.0.2」に関しては、「同1.0.2-beta2」で対応する予定。またOpenSSLを実装しているディストリビューションなどもアップデートの提供を開始している。

(Security NEXT - 2014/04/10 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Photoshop CC」に脆弱性、Windows版とMac版に影響
「みずほダイレクトアプリ」に盗聴や改ざんのおそれ - 修正版がリリース
「WordPress」向けAMP対応プラグインに深刻な脆弱性 - アップデートで修正
11月のMS月例パッチ修正された脆弱性、中東のゼロデイ攻撃で悪用済み
【修正あり】MS、月例パッチで脆弱性62件を修正 - ゼロデイ脆弱性などに対処
「Adobe Acrobat/Reader」に脆弱性、実証コードが公開済 - 早急に更新を
「VMware vRealize Log Insight」に認証回避の脆弱性
「VMware ESXi」に深刻な脆弱性 - ホスト上でコード実行のおそれ
「Adobe Acrobat/Reader」に悪用リスク高い脆弱性 - 早期適用推奨のアップデートが13日に公開予定
「Adobe Flash Player」に情報漏洩の脆弱性 - 悪用は未確認