「SSL 3.0」に脆弱性、「POODLE」攻撃が可能に - 各ベンダーは対処進める
暗号化通信プロトコルである「SSL 3.0」に、中間者攻撃でデータを盗聴される脆弱性が含まれていることがわかった。今回見つかった脆弱性は、通称「POODLE」とも呼ばれ、セキュリティ機関などは、同プロトコルの利用を避けるよう注意を呼びかけている。
「SSL 3.0」は、1995年に発表され、20年弱にわたり利用されてきた暗号プロトコル。すでに後継となるプロトコル「TLS 1.0」「同1.1」「同1.2」が利用されているが、互換性を維持するために現在も多くのソフトウェアが実装している。
今回の脆弱性「CVE-2014-3566」は、Googleの研究者が脆弱性を公表したもの。従来の「SSL 3.0」実装環境では、「TLS」が利用できない場合に「SSL 3.0」へ自動的にダウングレードする機能が存在。それら機能と「SSL 3.0」のCBCモードに存在する脆弱性への攻撃を組み合わせた「POODLE(Padding Oracle On Downgraded Legacy Encryption)」攻撃によって、Cookieなどの窃取が可能になるという。
今回の問題を受け、ChromeやFirefoxなどは、今後「SSL 3.0」を無効化する方針。日本マイクロソフトもアドバイザリを公表し、対応を検討している。
またOpenSSL Projectでは、同脆弱性について深刻度を「中」とする一方、POODLE攻撃を受けないよう通信プロトコルのダウングレードを行わない「TLS_FALLBACK_SCSV」をサポートしたバージョンを公開した。
(Security NEXT - 2014/10/16 )
ツイート
PR
関連記事
「IBM WebSphere Application Server」にRCE脆弱性 - 暫定パッチ公開
「MS Edge」にアップデート - 固有の脆弱性などにも対処
Salesforceのローコード開発ツールに脆弱性 - 設定リスクの指摘も
構成管理ツール「Salt」に複数脆弱性 - 「クリティカル」も
「Kibana」に深刻な脆弱性 - 「Chromium」の既知脆弱性に起因
「IBM i」のFAX機能に権限昇格の脆弱性 - 修正パッチを提供
「GitHub Enterprise Server」に脆弱性 - アップデートを公開
米CISA、「AMI MegaRAC SPx」や「FortiOS」の既知脆弱性悪用を警告
「Firefox 140」がリリース - 脆弱性13件を解消
「FortiOS」などFortinet複数製品に脆弱性 - アップデートを