「OpenSSL」にアップデート、累積した脆弱性3件を解消

「OpenSSL」の開発チームは、現地時間8月1日にバグや脆弱性を修正した「OpenSSL 3.1.2」「同3.0.10」「同1.1.1v」をリリースした。

今回のアップデートでは、重要度が低く、リポジトリ上で修正を実施するも単独のアップデートが提供されてこなかった3件の脆弱性を一気に解消している。

具体的には、「AES-SIV」の実装における脆弱性「CVE-2023-2975」や、一部関数でデータの大きい「DH（Diffie-Hellman）キー」やパラメータをチェックした際に処理速度が低下する「CVE-2023-3446」「CVE-2023-3817」を解消した。

また「OpenSSL 3.1.2」では、「enable-fips」オプションを使用してビルドした際、「TLS 1.2」ではデフォルトで拡張マスターシークレットの使用が必須となった。あわせて「ハッシュ値」や乱数生成アルゴリズム「HMAC DRBGs」において切り詰めたダイジェストを使用しないよう変更されている。

（Security NEXT - 2023/08/02 ） ツイート

PR

関連記事

「Adobe Acrobat／Reader」にゼロデイ脆弱性 - 悪用を確認、緊急更新を
金融機関を装うフィッシングメールに警戒を - 報告が増加中
子会社で一部サーバがランサム被害、詳細を調査 - システムソフト
総務省の行政不服審査DB掲載裁決書に個人情報 - 沖縄県
燃料調達システムに不正アクセス、情報が流出 - 日本郵船
取引情報含むATMの記録ドライブ2台が所在不明 - ローソン銀
感染確認ツール「EmoCheck」に脆弱性 - Emotet収束、利用停止を
若年層向け合宿イベント「セキュキャン2026」のエントリーがスタート
「抹茶シリーズ」に脆弱性、アップデートで修正 - OSS版は動作検証用
Palo Alto、「Cortex XSOAR」など複数製品で脆弱性を修正