「TLS 1.2」以前に「Raccoon Attack」のおそれ - OpenSSL、F5などが対処
脆弱性の判明を受け、OpenSSLの開発チームは「CVE-2020-1968」として対処。脆弱性の重要度を「低(Low)」とレーティングしている。開発チームでは、「同1.1.1系」は、静的なDH暗号スイートを実装しておらず、「DHシークレット」を再利用しないため、影響を受けないと説明。
「同1.0.2系」については、「OpenSSL 1.0.2u」を最後に2019年12月31日をもってサポートが終了している。プレミアムサポートの契約者に対しては、「OpenSSL 1.0.2w」で暗号スイートをデフォルトではコンパイルに含めない「weak-ssl-ciphers」リストに移動することで対処した。
またマイクロソフトは、9月の月例セキュリティ更新で「CVE-2020-1596」として対応。Mozillaは「CVE-2020-12413」を割り当て、「Firefox 78」で暗号スイート「DH」「DHE」のサポートを中止している。
一方、F5では、「CVE-2020-5929」として対処しており、パッチや緩和策をアナウンスした。「DH鍵交換」を有効化している場合に影響がある。いくつかのF5製品では、正確なタイミングを測定することなく攻撃が可能であるとされており、注意が必要となる。
(Security NEXT - 2020/09/14 )
ツイート
関連リンク
PR
関連記事
「NetScaler ADC」脆弱性、パッチ公開前から攻撃発生
「NetScaler ADC/Gateway」にゼロデイ脆弱性 - 早急に更新を
「Chrome」にゼロデイ脆弱性、アップデート公開 - 軽減策の実施も
特権コマンド実行ツール「sudo」に重要度「クリティカル」の脆弱性
「IBM WebSphere Application Server」にRCE脆弱性 - 暫定パッチ公開
「MS Edge」にアップデート - 固有の脆弱性などにも対処
Salesforceのローコード開発ツールに脆弱性 - 設定リスクの指摘も
構成管理ツール「Salt」に複数脆弱性 - 「クリティカル」も
「Kibana」に深刻な脆弱性 - 「Chromium」の既知脆弱性に起因
「IBM i」のFAX機能に権限昇格の脆弱性 - 修正パッチを提供