Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

OpenSSLにセキュリティアップデート - 脆弱性2件を修正

20171106_os_001.jpg

OpenSSLの開発チームは、セキュリティアップデート「OpenSSL 1.1.0g」「同1.0.2m」をリリースした。2件の脆弱性へ対処したという。

「x86_64」環境において「bn_sqrx8x_internal」にキャリープロパゲーションを誤って処理する脆弱性「CVE-2017-3736」が存在することが明らかになったという。

過去に修正された「CVE-2017-3732」「CVE-2015-3193」と類似した脆弱性で、重要度は4段階中、上から3番目にあたる「中(Moderate)」。楕円曲線暗号アルゴリズムは影響を受けない。

開発チームの分析では、「RSA」や「DSA」に対する攻撃は困難。「DH」については、プライベート鍵に対する分析をオフラインで行えるため、可能性は否定できないものの、同じく悪用は非常に難しいという。

複数のクライアントで設定やプライベートキーを共有しているなど一定の条件が揃う必要があり、膨大なリソースを必要とすることから、誰でも攻撃が行える脆弱性ではないとしている。

(Security NEXT - 2017/11/06 ) このエントリーをはてなブックマークに追加

PR

関連記事

MS、月例パッチで50件の脆弱性を修正 - 一部公開済みの脆弱性も
「Adobe Acrobat/Reader」にセキュリティ更新 - 脆弱性41件を修正
「Adobe Experience Manager」にセキュリティアップデート
Adobe、「Acrobat/Reader」のセキュリティアップデートを2月13日に公開予定
VMware製仮想アプライアンス6製品、「Meltdown」「Spectre」が影響
Intel、脆弱性「Spectre」を軽減する「Skylake」向けマイクロコードをリリース
「WordPress」にDoS攻撃を受けるおそれ、研究者が指摘
「Spring Security」「Spring Framework」に脆弱性 - 認証回避のおそれ
Flashゼロデイ脆弱性に北朝鮮関与 - 11月中旬より悪用
Cisco、セキュリティ製品向けに再度修正パッチ - あらたな攻撃手法が判明、対応不十分で