Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「SSL 3.0」に脆弱性、「POODLE」攻撃が可能に - 各ベンダーは対処進める

暗号化通信プロトコルである「SSL 3.0」に、中間者攻撃でデータを盗聴される脆弱性が含まれていることがわかった。今回見つかった脆弱性は、通称「POODLE」とも呼ばれ、セキュリティ機関などは、同プロトコルの利用を避けるよう注意を呼びかけている。

「SSL 3.0」は、1995年に発表され、20年弱にわたり利用されてきた暗号プロトコル。すでに後継となるプロトコル「TLS 1.0」「同1.1」「同1.2」が利用されているが、互換性を維持するために現在も多くのソフトウェアが実装している。

今回の脆弱性「CVE-2014-3566」は、Googleの研究者が脆弱性を公表したもの。従来の「SSL 3.0」実装環境では、「TLS」が利用できない場合に「SSL 3.0」へ自動的にダウングレードする機能が存在。それら機能と「SSL 3.0」のCBCモードに存在する脆弱性への攻撃を組み合わせた「POODLE(Padding Oracle On Downgraded Legacy Encryption)」攻撃によって、Cookieなどの窃取が可能になるという。

今回の問題を受け、ChromeやFirefoxなどは、今後「SSL 3.0」を無効化する方針。日本マイクロソフトもアドバイザリを公表し、対応を検討している。

またOpenSSL Projectでは、同脆弱性について深刻度を「中」とする一方、POODLE攻撃を受けないよう通信プロトコルのダウングレードを行わない「TLS_FALLBACK_SCSV」をサポートしたバージョンを公開した。

(Security NEXT - 2014/10/16 ) このエントリーをはてなブックマークに追加

PR

関連記事

「SAP」を狙うサイバー攻撃、事業停止のリスクも - 利用企業は早急に確認を
米政府、Fortinet製品利用者に注意喚起 - 3月よりAPT攻撃を観測
クラウドのワークロード向け「Carbon Black」に深刻な脆弱性
米政府、「Exchange脆弱性」対策で追加指令 - スキャンや対策強化など要請
「vROps Manager」の深刻な脆弱性 - 実証コードも確認
「VMware vRealize Operations」に深刻な脆弱性 - アップデートが公開
「Chrome 89.0.4389.114」がリリース - 8件のセキュリティ修正
「baserCMS」にOSコマンドインジェクションなど3件の脆弱性
データベース「MariaDB」に脆弱性 - OSコマンド実行のおそれ
コミュニケーションツール「Cisco Jabber」に深刻な脆弱性