「TLS 1.2」以前に「Raccoon Attack」のおそれ - OpenSSL、F5などが対処

脆弱性の判明を受け、OpenSSLの開発チームは「CVE-2020-1968」として対処。脆弱性の重要度を「低（Low）」とレーティングしている。開発チームでは、「同1.1.1系」は、静的なDH暗号スイートを実装しておらず、「DHシークレット」を再利用しないため、影響を受けないと説明。

「同1.0.2系」については、「OpenSSL 1.0.2u」を最後に2019年12月31日をもってサポートが終了している。プレミアムサポートの契約者に対しては、「OpenSSL 1.0.2w」で暗号スイートをデフォルトではコンパイルに含めない「weak-ssl-ciphers」リストに移動することで対処した。

またマイクロソフトは、9月の月例セキュリティ更新で「CVE-2020-1596」として対応。Mozillaは「CVE-2020-12413」を割り当て、「Firefox 78」で暗号スイート「DH」「DHE」のサポートを中止している。

一方、F5では、「CVE-2020-5929」として対処しており、パッチや緩和策をアナウンスした。「DH鍵交換」を有効化している場合に影響がある。いくつかのF5製品では、正確なタイミングを測定することなく攻撃が可能であるとされており、注意が必要となる。

（Security NEXT - 2020/09/14 ） ツイート

PR

関連記事

「FortiOS」の「SSL VPN」脆弱性に関するアドバイザリを更新
「Splunk Enterprise」にアップデート - 「クリティカル」脆弱性など解消
「Cisco ISE」にRCE脆弱性 - 端末の接続に影響するおそれも
ロードバランサ「HAProxy」に脆弱性 - 同期破壊のおそれ
「Webmin」に認証バイパスなど複数の脆弱性 - 最新版で修正
6月公表の「Splunk Enterprise」脆弱性、悪用を確認
FWやVPNの認証情報を攻撃者が大量保有 - 「FortiBleed」に要警戒
「nginx」に複数のクリティカル脆弱性 - 修正版が公開
「Splunk」向けのAI拡張ツールに複数の脆弱性
「Chrome」が脆弱性33件を修正 - 「クリティカル」7件