「OpenSSL」に秘密鍵漏洩する脆弱性「Heartbleed」が存在 - エクスプロイトも流通

SSLやTLSによる暗号化通信をはじめ、暗号化機能で利用されているライブラリ「OpenSSL」に深刻な脆弱性が見つかった。

「OpenSSL」が規定で組み込まれている「heartbeat拡張」に重要な情報が外部へ漏洩する脆弱性「CVE-2014-0160」が明らかとなったもの。

脆弱性は、「OpenSSL 1.0.1」から「同1.0.1f」までと、「同1.0.2-beta」から「1.0.2-beta1」までに存在。同拡張の実装上の問題であり、SSLおよびTLSのプロトコルそのものには問題ない。

同脆弱性が悪用されると、リモートから実行中のメモリが取得されるおそれがある。攻撃者は、1度の攻撃で64Kバイトのデータを取得可能であるとされ、任意の回数を繰り返すことでより多くの情報を入手されるおそれがある。

証明書の秘密鍵をはじめ、ユーザー名、パスワードをはじめ、重要な情報が漏洩するおそれがある。すでに脆弱性のエクスプロイトコードが入手可能な状況だという。

同拡張の名前や情報が漏洩するその特徴から、心臓が鼓動の度に失血する様子にたとえられ、今回の不具合は「Heartbleed」と名付けられ、セキュリティ機関などは注意を呼びかけている。

脆弱性を回避するには、同拡張を利用しないようオプションを有効にして再コンパイルするか、脆弱性を解消したバージョンへアップデートする必要がある。

OpenSSL Projectでは、脆弱性を修正した最新版「同1.0.1g」を公開。「同1.0.2」に関しては、「同1.0.2-beta2」で対応する予定。またOpenSSLを実装しているディストリビューションなどもアップデートの提供を開始している。

（Security NEXT - 2014/04/10 ）ツイート