「TLS 1.2」以前に「Raccoon Attack」のおそれ - OpenSSL、F5などが対処

脆弱性の判明を受け、OpenSSLの開発チームは「CVE-2020-1968」として対処。脆弱性の重要度を「低（Low）」とレーティングしている。開発チームでは、「同1.1.1系」は、静的なDH暗号スイートを実装しておらず、「DHシークレット」を再利用しないため、影響を受けないと説明。

「同1.0.2系」については、「OpenSSL 1.0.2u」を最後に2019年12月31日をもってサポートが終了している。プレミアムサポートの契約者に対しては、「OpenSSL 1.0.2w」で暗号スイートをデフォルトではコンパイルに含めない「weak-ssl-ciphers」リストに移動することで対処した。

またマイクロソフトは、9月の月例セキュリティ更新で「CVE-2020-1596」として対応。Mozillaは「CVE-2020-12413」を割り当て、「Firefox 78」で暗号スイート「DH」「DHE」のサポートを中止している。

一方、F5では、「CVE-2020-5929」として対処しており、パッチや緩和策をアナウンスした。「DH鍵交換」を有効化している場合に影響がある。いくつかのF5製品では、正確なタイミングを測定することなく攻撃が可能であるとされており、注意が必要となる。

（Security NEXT - 2020/09/14 ）ツイート

「TLS 1.2」以前に「Raccoon Attack」のおそれ - OpenSSL、F5などが対処

関連リンク

PR

関連記事