「OpenSSL」にアップデート - 複数の脆弱性を解消

「OpenSSL」の開発チームは、セキュリティアップデートをリリースした。あらたにアドバイザリをリリースした脆弱性を含む複数の脆弱性を修正している。

「同3.1.1」「同3.0.9」「同1.1.1u」をリリースしたもので、バージョンによって対象となる脆弱性は異なるが、複数の脆弱性を解消した。またプレミアムサポートを契約している場合は「同1.0.2zh」を利用できる。

今回のアップデートにあわせ、「ASN.1オブジェクト識別子」の変換処理に明らかとなった脆弱性「CVE-2023-2650」についてアドバイザリを公開。開発グループでは同脆弱性の重要度を4段階中、上から3番目にあたる「中（Moderate）」とレーティングした。

サイズ制限が設けられていない一部処理において速度が低下し、サービス拒否に陥るおそれがある。証明書チェーンの処理に関しては、100Kバイトの制限を設けてあることから、TLSへの影響は小さいという。

またこれまでアドバイザリを公表し、今後のアップデートに反映するとしていた「CVE-2023-0464」「CVE-2023-0465」「CVE-2023-0466」「CVE-2023-1255」の修正を実装。

さらに2月のアップデートで対応した「CVE-2022-4304」における修正において、性能の低下を引き起こすことが判明したことから再構築を行なったという。

（Security NEXT - 2023/06/01 ）ツイート