Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「SSL 3.0」に脆弱性、「POODLE」攻撃が可能に - 各ベンダーは対処進める

暗号化通信プロトコルである「SSL 3.0」に、中間者攻撃でデータを盗聴される脆弱性が含まれていることがわかった。今回見つかった脆弱性は、通称「POODLE」とも呼ばれ、セキュリティ機関などは、同プロトコルの利用を避けるよう注意を呼びかけている。

「SSL 3.0」は、1995年に発表され、20年弱にわたり利用されてきた暗号プロトコル。すでに後継となるプロトコル「TLS 1.0」「同1.1」「同1.2」が利用されているが、互換性を維持するために現在も多くのソフトウェアが実装している。

今回の脆弱性「CVE-2014-3566」は、Googleの研究者が脆弱性を公表したもの。従来の「SSL 3.0」実装環境では、「TLS」が利用できない場合に「SSL 3.0」へ自動的にダウングレードする機能が存在。それら機能と「SSL 3.0」のCBCモードに存在する脆弱性への攻撃を組み合わせた「POODLE(Padding Oracle On Downgraded Legacy Encryption)」攻撃によって、Cookieなどの窃取が可能になるという。

今回の問題を受け、ChromeやFirefoxなどは、今後「SSL 3.0」を無効化する方針。日本マイクロソフトもアドバイザリを公表し、対応を検討している。

またOpenSSL Projectでは、同脆弱性について深刻度を「中」とする一方、POODLE攻撃を受けないよう通信プロトコルのダウングレードを行わない「TLS_FALLBACK_SCSV」をサポートしたバージョンを公開した。

(Security NEXT - 2014/10/16 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Flash Player」狙いのゼロデイ攻撃、3カ月前から準備か - 給与関連書類を偽装、C&Cは偽求人サイト
CMSの「Zenphoto」にコード実行の脆弱性 - 最新版で修正
「BIND 9」が意図せずオープンリゾルバとなるおそれ - 設定の確認を
MS、AMDプロセッサ向けに「Spectre」緩和策を追加
「Chrome」に重要度「高」の脆弱性 - アップデートがリリース
「OpenSSL」にDoS攻撃受ける脆弱性 - 修正は次期アップデートで
MS、6月の月例パッチをリリース - 脆弱性1件が公開済み、悪用は未確認
Windows版LINEにリンクでDLL読込パスを指定できる脆弱性 - すでに修正済み
スマートデバイス向け「VMware AirWatch Agent」に深刻な脆弱性
NICT、脆弱性管理プラットフォーム「NIRVANA改弐」を発表