公開日:2016/09/23 最終更新日:2017/03/09

JVNVU#98667810
OpenSSL に複数の脆弱性

概要

OpenSSL には、複数の脆弱性が存在します。

影響を受けるシステム

  • OpenSSL 1.1.0a より前のバージョン
  • OpenSSL 1.0.2i より前のバージョン
  • OpenSSL 1.0.1u より前のバージョン

詳細情報

OpenSSL は、次の複数の脆弱性および処理を修正したアップデートをリリースしました。

  • OCSP Status Request にサービス運用妨害 (DoS) - CVE-2016-6304 (重要度:高)
  • SSL_peek() 関数の呼出し処理にサービス運用妨害 (DoS) - CVE-2016-6305 (重要度:中)
  • ブロック長が 64bit のブロック暗号に対する誕生日攻撃 (Sweet32) への緩和策 - CVE-2016-2183 (重要度:低)
  • MDC2_Update() 関数の呼出し処理にヒープベースのバッファオーバーフロー - CVE-2016-6303 (重要度:低)
  • SHA512 を使用した不正な形式の TLS セッションチケットによるサービス運用妨害 (DoS) - CVE-2016-6302 (重要度:低)
  • BN_bn2dec() 関数に領域外書込み - CVE-2016-2182 (重要度:低)
  • TS_OBJ_print_bio() 関数に領域外読込み - CVE-2016-2180 (重要度:低)
  • ポインタ演算処理の未定義動作 - CVE-2016-2177 (重要度:低)
  • DSA 署名アルゴリズムに対するサイドチャネル攻撃 - CVE-2016-2178 (重要度:低)
  • DTLS のハンドシェイク処理にサービス運用妨害 (DoS) - CVE-2016-2179 (重要度:低)
  • DTLS のリプレイ攻撃防止機能にサービス運用妨害 (DoS) - CVE-2016-2181 (重要度:低)
  • 証明書の読込み処理およびリクエスト処理に領域外読込み - CVE-2016-6306 (重要度:低)
  • TLS メッセージのメモリ割当て処理にサービス運用妨害 (DoS) - CVE-2016-6307 (重要度:低)
  • DTLS メッセージのメモリ割当て処理にサービス運用妨害 (DoS) - CVE-2016-6308 (重要度:低)

想定される影響

想定される影響は各脆弱性により異なりますが、サービス運用妨害 (DoS) 攻撃を受けるなどの可能性があります。

対策方法

アップデートする
本脆弱性を修正した OpenSSL 1.1.0a、1.0.2i および 1.0.1u がリリースされています。
開発者が提供する情報をもとに、最新版へアップデートしてください。

ベンダ情報

ベンダ ステータス ステータス
最終更新日
ベンダの告知ページ
BizMobile株式会社 該当製品あり 2016/11/14 BizMobile株式会社 の告知ページ
ジェイティ エンジニアリング株式会社 該当製品無し 2016/10/31
日本電気株式会社 該当製品あり 2017/03/09

参考情報

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

更新履歴

2016/09/28
ベンダ情報に Cisco の情報を追加しました
2016/10/31
ジェイティ エンジニアリング株式会社のベンダステータスが更新されました
2016/11/14
BizMobile株式会社のベンダステータスが更新されました
2017/02/01
日本電気株式会社のベンダステータスが更新されました
2017/03/09
日本電気株式会社のベンダステータスが更新されました