「OpenSSL」の「AES-SIV」実装に脆弱性 - 重要度「低」
「OpenSSL」の開発チームは、セキュリティアドバイザリをリリースし、ソースリポジトリ上で修正を行ったことを明らかにした。
暗号アルゴリズム「AES-SIV」の実装において、アプリケーションが空の関連データエントリを用いた認証を行おうとすると、無視して正しく処理が行われない脆弱性「CVE-2023-2975」が明らかとなったもの。
7月18日の時点で最新版である「同3.1.1」「同3.0.9」および以前のバージョンに脆弱性は存在。「同1.1.1」および「同1.0.2」系は影響を受けない。これまでに同脆弱性の影響を受けるアプリケーションは確認されていないという。
アプリケーションが空の関連データを使用して認証を行なうことはレアケースであるとして、開発チームは、脆弱性の重要度をもっとも低い「低(Low)」とレーティングした。
開発チームでは、ソースリポジトリ上でパッチを公開しているが、重要度が低いことから同脆弱性の修正のみを目的としたアップデートについては用意しない方針。次回以降のアップデートで今回のパッチを反映する予定。
(Security NEXT - 2023/07/18 )
ツイート
関連リンク
PR
関連記事
教員採用選考受検者の自己申告用紙が所在不明に - 新潟県
他県で実施した中学校自然教室で生徒名簿が所在不明に - 横浜市
誤った住所へ会員証を送付、システムトラブルで - JAF
Salesforceのローコード開発ツールに脆弱性 - 設定リスクの指摘も
構成管理ツール「Salt」に複数脆弱性 - 「クリティカル」も
MDMサーバから従業員情報流出、削除データも - ジブラルタ生保
「Kibana」に深刻な脆弱性 - 「Chromium」の既知脆弱性に起因
ファッション通販サイトに不正アクセス、通知メールが送信
サイバー攻撃で元従業員情報が流出した可能性 - クミアイ化学工業
「IBM i」のFAX機能に権限昇格の脆弱性 - 修正パッチを提供