「OpenSSL」に秘密鍵漏洩する脆弱性「Heartbleed」が存在 - エクスプロイトも流通
SSLやTLSによる暗号化通信をはじめ、暗号化機能で利用されているライブラリ「OpenSSL」に深刻な脆弱性が見つかった。
「OpenSSL」が規定で組み込まれている「heartbeat拡張」に重要な情報が外部へ漏洩する脆弱性「CVE-2014-0160」が明らかとなったもの。
脆弱性は、「OpenSSL 1.0.1」から「同1.0.1f」までと、「同1.0.2-beta」から「1.0.2-beta1」までに存在。同拡張の実装上の問題であり、SSLおよびTLSのプロトコルそのものには問題ない。
同脆弱性が悪用されると、リモートから実行中のメモリが取得されるおそれがある。攻撃者は、1度の攻撃で64Kバイトのデータを取得可能であるとされ、任意の回数を繰り返すことでより多くの情報を入手されるおそれがある。
証明書の秘密鍵をはじめ、ユーザー名、パスワードをはじめ、重要な情報が漏洩するおそれがある。すでに脆弱性のエクスプロイトコードが入手可能な状況だという。
同拡張の名前や情報が漏洩するその特徴から、心臓が鼓動の度に失血する様子にたとえられ、今回の不具合は「Heartbleed」と名付けられ、セキュリティ機関などは注意を呼びかけている。
脆弱性を回避するには、同拡張を利用しないようオプションを有効にして再コンパイルするか、脆弱性を解消したバージョンへアップデートする必要がある。
OpenSSL Projectでは、脆弱性を修正した最新版「同1.0.1g」を公開。「同1.0.2」に関しては、「同1.0.2-beta2」で対応する予定。またOpenSSLを実装しているディストリビューションなどもアップデートの提供を開始している。
(Security NEXT - 2014/04/10 )
ツイート
関連リンク
PR
関連記事
ITインフラ監視ツール「Pandora FMS」に脆弱性 - アップデートで修正
「Active! mail 6」に「XSS」や「CSRF」脆弱性 - 修正版へ更新を
「PHP」に複数脆弱性 - セキュリティリリースが公開
ブラウザ「Chrome」の「Cookie暗号化保護」を破壊する「C4攻撃」
「Chromium」の脆弱性狙う攻撃 - 派生ブラウザ利用者も注意を
「Lucee」にクリティカル脆弱性 - 悪用コード公開済み
「MS Edge」にアップデート - ゼロデイ脆弱性などに対応
「Cisco Unified CM」に深刻なRCE脆弱性 - ESリリースのみ影響
「Citrix Bleed 2」への懸念広がる - 提供元は「悪用未確認」強調
メッセージ保護アプリ「TM SGNL」の複数脆弱性、悪用リストに追加