Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「OpenSSL」に秘密鍵漏洩する脆弱性「Heartbleed」が存在 - エクスプロイトも流通

SSLやTLSによる暗号化通信をはじめ、暗号化機能で利用されているライブラリ「OpenSSL」に深刻な脆弱性が見つかった。

「OpenSSL」が規定で組み込まれている「heartbeat拡張」に重要な情報が外部へ漏洩する脆弱性「CVE-2014-0160」が明らかとなったもの。

脆弱性は、「OpenSSL 1.0.1」から「同1.0.1f」までと、「同1.0.2-beta」から「1.0.2-beta1」までに存在。同拡張の実装上の問題であり、SSLおよびTLSのプロトコルそのものには問題ない。

同脆弱性が悪用されると、リモートから実行中のメモリが取得されるおそれがある。攻撃者は、1度の攻撃で64Kバイトのデータを取得可能であるとされ、任意の回数を繰り返すことでより多くの情報を入手されるおそれがある。

証明書の秘密鍵をはじめ、ユーザー名、パスワードをはじめ、重要な情報が漏洩するおそれがある。すでに脆弱性のエクスプロイトコードが入手可能な状況だという。

同拡張の名前や情報が漏洩するその特徴から、心臓が鼓動の度に失血する様子にたとえられ、今回の不具合は「Heartbleed」と名付けられ、セキュリティ機関などは注意を呼びかけている。

脆弱性を回避するには、同拡張を利用しないようオプションを有効にして再コンパイルするか、脆弱性を解消したバージョンへアップデートする必要がある。

OpenSSL Projectでは、脆弱性を修正した最新版「同1.0.1g」を公開。「同1.0.2」に関しては、「同1.0.2-beta2」で対応する予定。またOpenSSLを実装しているディストリビューションなどもアップデートの提供を開始している。

(Security NEXT - 2014/04/10 ) このエントリーをはてなブックマークに追加

PR

関連記事

ログ解析ツール「Splunk Enterprise」に複数脆弱性
「Chromium」の深刻な脆弱性、すでに悪用済み - 「MS Edge」も緊急更新
MS、「Microsoft Edge 103.0.1264.49」を公開 - ゼロデイ脆弱性に対処
「GitLab」にセキュリティアップデート - 脆弱性2件を修正
Cisco、セキュリティアドバイザリ17件を公開
ブラウザ「Chrome」に「クリティカル」の脆弱性 - 更新を
「SharePoint Server」の脆弱性悪用に要警戒 - 米当局が注意喚起
WPプラグイン「Network Summary」に深刻な脆弱性 - パッチ未提供
エレコム製無線LANルータ2機種に複数の脆弱性
エレコム製の複数無線LANルータに3件の脆弱性