Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「SSL 3.0」に脆弱性、「POODLE」攻撃が可能に - 各ベンダーは対処進める

暗号化通信プロトコルである「SSL 3.0」に、中間者攻撃でデータを盗聴される脆弱性が含まれていることがわかった。今回見つかった脆弱性は、通称「POODLE」とも呼ばれ、セキュリティ機関などは、同プロトコルの利用を避けるよう注意を呼びかけている。

「SSL 3.0」は、1995年に発表され、20年弱にわたり利用されてきた暗号プロトコル。すでに後継となるプロトコル「TLS 1.0」「同1.1」「同1.2」が利用されているが、互換性を維持するために現在も多くのソフトウェアが実装している。

今回の脆弱性「CVE-2014-3566」は、Googleの研究者が脆弱性を公表したもの。従来の「SSL 3.0」実装環境では、「TLS」が利用できない場合に「SSL 3.0」へ自動的にダウングレードする機能が存在。それら機能と「SSL 3.0」のCBCモードに存在する脆弱性への攻撃を組み合わせた「POODLE(Padding Oracle On Downgraded Legacy Encryption)」攻撃によって、Cookieなどの窃取が可能になるという。

今回の問題を受け、ChromeやFirefoxなどは、今後「SSL 3.0」を無効化する方針。日本マイクロソフトもアドバイザリを公表し、対応を検討している。

またOpenSSL Projectでは、同脆弱性について深刻度を「中」とする一方、POODLE攻撃を受けないよう通信プロトコルのダウングレードを行わない「TLS_FALLBACK_SCSV」をサポートしたバージョンを公開した。

(Security NEXT - 2014/10/16 ) このエントリーをはてなブックマークに追加

PR

関連記事

「VMware ESXi」に深刻な脆弱性 - ホスト上でコード実行のおそれ
スマートコントラクト向けの脆弱性モニタリングサービス - NRIセキュア
「WordPress」向けeラーニングシステム構築プラグインに複数脆弱性
「Adobe Acrobat/Reader」に悪用リスク高い脆弱性 - 早期適用推奨のアップデートが13日に公開予定
PowerDNSに複数脆弱性、アップデートで修正 - バグ判明で急遽再リリースも
Windows版「Evernote」にリモートよりコマンド実行が可能となる脆弱性
IoT向け組込OS「AWS FreeRTOS」に複数脆弱性 - コード実行のおそれ
同一コアのスレッド同時実行技術に脆弱性 - サイドチャネル攻撃「PORTSMASH」が明らかに
JPCERT/CCのログ可視化ツールにコードインジェクションなど複数脆弱性 - 修正版がリリース
複数の自己暗号化ドライブに脆弱性 - 復号化のおそれ