「TLS 1.2」以前に「Raccoon Attack」のおそれ - OpenSSL、F5などが対処

脆弱性の判明を受け、OpenSSLの開発チームは「CVE-2020-1968」として対処。脆弱性の重要度を「低（Low）」とレーティングしている。開発チームでは、「同1.1.1系」は、静的なDH暗号スイートを実装しておらず、「DHシークレット」を再利用しないため、影響を受けないと説明。

「同1.0.2系」については、「OpenSSL 1.0.2u」を最後に2019年12月31日をもってサポートが終了している。プレミアムサポートの契約者に対しては、「OpenSSL 1.0.2w」で暗号スイートをデフォルトではコンパイルに含めない「weak-ssl-ciphers」リストに移動することで対処した。

またマイクロソフトは、9月の月例セキュリティ更新で「CVE-2020-1596」として対応。Mozillaは「CVE-2020-12413」を割り当て、「Firefox 78」で暗号スイート「DH」「DHE」のサポートを中止している。

一方、F5では、「CVE-2020-5929」として対処しており、パッチや緩和策をアナウンスした。「DH鍵交換」を有効化している場合に影響がある。いくつかのF5製品では、正確なタイミングを測定することなく攻撃が可能であるとされており、注意が必要となる。

（Security NEXT - 2020/09/14 ） ツイート

PR

関連記事

開発プラットフォーム「GitLab」、脆弱性13件を修正
「MongoDB Server」に24件の脆弱性 - 「クリティカル」も
「Apache Kyuubi」に3件の脆弱性 - 修正版が公開
「pgAdmin 4」に深刻な脆弱性 - 前回修正の不備も
「SolarWinds WHD」に複数脆弱性 - SAML認証回避のおそれも
「OpenAM」に深刻な脆弱性 - アップデートを公開
「PHP」に複数の脆弱性 - セキュリティリリースを公開
「TrendAI Vision One」に深刻な脆弱性 - 2025年に修正済み
「Ruby on Rails」に深刻な脆弱性「KindaRails2Shell」
「Adobe Campaign Classic」に悪用リスク高い脆弱性 - 早急に更新を