OpenSSLの一部楕円曲線APIに脆弱性 - 重要度は「低」

OpenSSLの開発チームは、一部楕円曲線のAPIに脆弱性が含まれていることを明らかにした。重要度は「低」としており、今後のアップデートで修正する予定。

現地時間10月16日にアドバイザリを公開し、一部楕円曲線のAPIにおいて信頼できないデータを処理すると、域外メモリへアクセスする脆弱性「CVE-2024-9143」について明らかにしたもの。

脆弱性を悪用されるとアプリケーションのクラッシュを引き起こし、リモートよりコードを実行されるリスクがある。

ただし、一般的に利用されるX.509証明書やX9.62エンコーディングにおいては、問題のある入力は発生せず、悪用が成功する可能性も低いことから影響は限定的で重要度を「低（Low）」とした。

開発チームではソースリポジトリで修正。同脆弱性の修正を目的としたアップデートは提供せず、今後リリースする「OpenSSL 3.3.3」「同3.2.4」「同3.1.8」「同3.0.16」「同1.1.1zb」「同1.0.2zl」にて修正する予定。

（Security NEXT - 2024/10/23 ）ツイート