OpenSSLにサービス拒否の脆弱性 - 単独での修正リリースは用意せず
OpenSSLの開発チームは、サービス拒否を引き起こすおそれがある脆弱性が見つかったことを明らかにした。重要度は低く、同脆弱性を単独で修正するアップデートのリリースは行わないとしている。
「X.509証明書」のポリシーに関する処理に不備があり、サービス拒否が生じるおそれがある脆弱性「CVE-2022-3996」が明らかとなったもの。
開発チームでは、一般的に見られる設定ではないとし、脆弱性の重要度を、4段階中もっとも低い「低(Low)」とレーティングしている。
米国立標準技術研究所(NIST)の脆弱性データベース「NVD」では、共通脆弱性評価システム「CVSSv3.1」においてベーススコアを「7.5」、重要度を「高(High)」と評価している。
同脆弱性は、「同3系」に影響があり、「同3.0.7」および以前のバージョンに存在。「同1.1.1」「同1.0.2」は影響を受けない。ソースリポジトリ上では修正が行われたが、重要度が低いことから、同脆弱性の修正のみを目的としたアップデートのリリースは行わない方針だという。
いずれ提供する「同3.0.8」にてほかに明らかとなった脆弱性などとともに修正を反映する方針で、リリースされ次第、アップデートするよう求めている。
(Security NEXT - 2022/12/16 )
ツイート
PR
関連記事
案内メールを「CC」送信、メアド流出 - 福島市スポーツ振興公社
調査受注者が貸与された個人情報含む資料を紛失 - 国交省
情セ大、「情報セキュリティ文化賞」の受賞者4名を発表
尼崎市、スマホ紛失の虚偽報告で懲戒処分 - 「USB紛失事案が頭をよぎり」
コンテナ管理プラットフォーム「Rancher」に深刻な脆弱性
macOS向けアップデート - 複数脆弱性を修正
委託先にサイバー攻撃、顧客などへ脅迫メール届く - 北関東マツダ
様式と誤って個人情報含むファイルをメール送信 - 嘉手納町
調達業務の見積依頼で、受信者間にメアド流出 - 日本国際協力システム
多数システムでランサム被害、復旧や事業継続に追われる - ならコープ