「TLS 1.2」以前に「Raccoon Attack」のおそれ - OpenSSL、F5などが対処

脆弱性の判明を受け、OpenSSLの開発チームは「CVE-2020-1968」として対処。脆弱性の重要度を「低（Low）」とレーティングしている。開発チームでは、「同1.1.1系」は、静的なDH暗号スイートを実装しておらず、「DHシークレット」を再利用しないため、影響を受けないと説明。

「同1.0.2系」については、「OpenSSL 1.0.2u」を最後に2019年12月31日をもってサポートが終了している。プレミアムサポートの契約者に対しては、「OpenSSL 1.0.2w」で暗号スイートをデフォルトではコンパイルに含めない「weak-ssl-ciphers」リストに移動することで対処した。

またマイクロソフトは、9月の月例セキュリティ更新で「CVE-2020-1596」として対応。Mozillaは「CVE-2020-12413」を割り当て、「Firefox 78」で暗号スイート「DH」「DHE」のサポートを中止している。

一方、F5では、「CVE-2020-5929」として対処しており、パッチや緩和策をアナウンスした。「DH鍵交換」を有効化している場合に影響がある。いくつかのF5製品では、正確なタイミングを測定することなく攻撃が可能であるとされており、注意が必要となる。

（Security NEXT - 2020/09/14 ） ツイート

PR

関連記事

ファイルサーバ「goshs」に認証回避など複数脆弱性 - 修正版を公開
「Apache ActiveMQ」にRCE脆弱性 - 悪用が確認され「KEV」にも登録
「Cisco ISE」に複数の深刻な脆弱性 - 一部修正パッチを準備中
「Ivanti Neurons for ITSM」に脆弱性 - アップデートを提供
SAP、月例セキュリティアドバイザリ19件を公開 - 「クリティカル」も
「Cisco Webex」のSSO連携に深刻な脆弱性 - 証明書の更新を
「Chrome」が脆弱性31件を修正 - 5件は「クリティカル」
「Adobe Acrobat/Reader」がわずか3日で再更新 - 深刻な脆弱性を修正
「Adobe Acrobat/Reader」にゼロデイ脆弱性 - 悪用を確認、緊急更新を
米当局、「SharePoint Server」「Excel」の脆弱性悪用に注意喚起