Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「OpenSSL」の「AES-SIV」実装に脆弱性 - 重要度「低」

「OpenSSL」の開発チームは、セキュリティアドバイザリをリリースし、ソースリポジトリ上で修正を行ったことを明らかにした。

暗号アルゴリズム「AES-SIV」の実装において、アプリケーションが空の関連データエントリを用いた認証を行おうとすると、無視して正しく処理が行われない脆弱性「CVE-2023-2975」が明らかとなったもの。

7月18日の時点で最新版である「同3.1.1」「同3.0.9」および以前のバージョンに脆弱性は存在。「同1.1.1」および「同1.0.2」系は影響を受けない。これまでに同脆弱性の影響を受けるアプリケーションは確認されていないという。

アプリケーションが空の関連データを使用して認証を行なうことはレアケースであるとして、開発チームは、脆弱性の重要度をもっとも低い「低(Low)」とレーティングした。

開発チームでは、ソースリポジトリ上でパッチを公開しているが、重要度が低いことから同脆弱性の修正のみを目的としたアップデートについては用意しない方針。次回以降のアップデートで今回のパッチを反映する予定。

(Security NEXT - 2023/07/18 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

「JBoss RichFaces」に対する脆弱性攻撃に注意喚起 - 米当局
ランサム被害、中小企業が6割弱 - 暗号化しない脅迫も
ネットバンク不正送金が前四半期の2倍超 - 過去最悪に
「サイバーセキュリティ関係法令 Q&Aハンドブック」が改訂
企業の健診結果を別企業へメールで誤送信 - 日大病院
ワコールの海外子会社にサイバー攻撃 - 詳細を調査
スタッフの個人情報が流出した可能性、ハッシュ化PWも - NHK
「Cisco Catalyst SD-WAN Manager」に複数の脆弱性 - 「クリティカル」も
日米当局、中国が関与するサイバー攻撃について注意喚起
「Firefox 118」が公開に - 機能強化や脆弱性修正など実施