「OpenSSL 3.5」に設定と挙動異なる脆弱性 - コピペミスで発生

「OpenSSL」の開発チームは、「同3.5.0」における脆弱性1件を公表した。

コマンドラインアプリケーション「openssl x509」のオプション処理に問題があり、意図と逆の挙動が生じる脆弱性「CVE-2025-4575」について明らかにしたもの。

具体的には、「openssl x509」コマンドのオプションで証明書の特定用途を拒否設定しようとした際、誤ってその用途を信頼済みに設定してしまうという。

軽微なコードのリファクタリング時におけるコピー＆ペーストのミスに起因し、発生したという。重要度は4段階中もっとも低い「低（Low）」とレーティングしている。

ソースリポジトリにおいて修正を実施。現段階でアップデートは用意しておらず、今後リリースする「同3.5.1」に修正が反映される予定。FIPSモジュールを含む構成や「同3.4」以前のブランチでは影響を受けない。

（Security NEXT - 2025/05/23 ） ツイート

PR

関連記事

「MS Edge」にセキュリティアップデート - 脆弱性3件を解消
米当局、ファイル転送製品「FileZen」の脆弱性悪用に注意喚起
「Firefox 148」で50件超の脆弱性を修正 - AI制御機能の追加も
「SonicOS」に複数のDoS脆弱性が判明 - 修正版を公開
「VMware Aria Operations」に複数脆弱性 - アップデートで修正
機械学習プラットフォーム「MLflow」に認証バイパスの脆弱性
「Chrome」のセキュリティアップデート - 脆弱性3件を解消
ウェブメール「Roundcube」の脆弱性2件が攻撃の標的に
米当局、脆弱性悪用リストに4件追加 - ランサム対策製品の脆弱性も
「Apache Tomcat」に複数脆弱性 - 1月の更新でいずれも修正済み