公開日:2023/02/08 最終更新日:2024/09/12

JVNVU#91213144
OpenSSLに複数の脆弱性

概要

OpenSSLには、複数の脆弱性が存在します。

影響を受けるシステム

CVE-2023-0286、CVE-2022-4304、CVE-2023-0215

  • OpenSSL 3.0、1.1.1、1.0.2
CVE-2022-4203、CVE-2023-0216、CVE-2023-0217、CVE-2023-0401
  • OpenSSL 3.0.0から3.0.7
CVE-2022-4450
  • OpenSSL 3.0、1.1.1

詳細情報

OpenSSL Projectより、OpenSSL Security Advisory [7th February 2023]が公開されました。
OpenSSLには、次の脆弱性が存在します。

深刻度 - 高(Severity: High)

  • X.509 GeneralNameにおけるX.400アドレスの型の取り違え - CVE-2023-0286
    • X.509 GeneralName内に、X.400のアドレス処理に関連する型の取り違えの脆弱性があります。X.400のアドレスタイプはASN1_STRINGとして解析されますが、GENERAL_NAMEのpublic構造定義では、誤ってx400AddressフィールドのタイプがASN1_TYPEとして指定されています。
深刻度 - 中(Severity: Moderate)
  • RSA Decryptionにおけるタイミングオラクル - CVE-2022-4304
    • OpenSSL RSA Decryptionの実装に、Bleichenbacher方式の攻撃でネットワークを介して平文を取得可能なタイミングベースのサイドチャネルが存在します。これは、PKCS#1 v1.5、RSA-OEAP、およびRSASVEのすべてのRSAパディングモードに影響します。
  • X.509 Name Constraintsにおける領域外読み取り - CVE-2022-4203
    • X.509証明書の検証、特に名前制約チェックで、領域外読み取りが行われる可能性があります。
  • BIO_new_NDEF呼出し後の解放済みメモリの使用 - CVE-2023-0215
    • public API関数BIO_new_NDEFは、BIOを介してASN.1データをストリーミングするために使用されるヘルパー関数ですが、特定の条件下で解放済みのフィルターBIOへのポインタを保持したままとなるため、その後のBIO_pop()関数の呼び出しで解放済みメモリの使用が発生します。
  • PEM_read_bio_ex呼出し後の二重解放 - CVE-2022-4450
    • PEM_read_bio_ex()関数は、BIOからPEMファイルを読み取り、名前、ヘッダーデータおよびペイロードデータを解析してデコードします。処理が成功した場合、引数にデコードデータを格納したバッファへのポインタが設定され、このバッファの解放は呼び出し元が行います。ペイロードデータが0バイトのPEMファイルを処理した場合、解放済みバッファへのポインタを返すため、呼び出し元でこのバッファを解放すると二重解放となります。
  • d2i_PKCS7関数における無効なポインタの参照 - CVE-2023-0216
    • アプリケーションが d2i_PKCS7()、d2i_PKCS7_bio()、または d2i_PKCS7_fp()関数を使用して不正な形式のPKCS7データをロードしようとすると、読み取り時に無効なポインタ参照が行われる可能性があります。
  • DSA公開鍵検証時のNULL参照 - CVE-2023-0217
    • アプリケーションがEVP_PKEY_public_check()関数によって不正な形式のDSA公開鍵をチェックしようとすると、読み取り時に無効なポインタ参照が行われる可能性があります。
  • PKCS7データ検証時のNULL参照 - CVE-2023-0401
    • PKCS7署名済みまたはsignedAndEnvelopedのデータで署名の検証が行われる場合、NULLポインタを参照する可能性があります。

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • メモリの内容を読み取られたり、システムがサービス運用妨害(DoS)状態にされる - CVE-2023-0286
  • ユーザがサーバへ送信したアプリケーションのデータを復号される - CVE-2022-4304
  • システムがサービス運用妨害(DoS)状態にされる - CVE-2022-4203、CVE-2023-0215、CVE-2022-4450、CVE-2023-0216、CVE-2023-0217、CVE-2023-0401

対策方法

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、本脆弱性への対策版として次のバージョンをリリースしています。

  • OpenSSL 3.0.8
  • OpenSSL 1.1.1t
  • OpenSSL 1.0.2zg(プレミアムサポートカスタマのみ)

ベンダ情報

ベンダ ステータス ステータス
最終更新日
ベンダの告知ページ
オムロン株式会社 該当製品あり 2024/05/27 オムロン株式会社 の告知ページ
三菱電機株式会社 該当製品あり 2023/12/21 三菱電機株式会社 の告知ページ
日本電気株式会社 該当製品あり 2024/09/12

参考情報

  1. ICS Advisory | ICSA-24-205-02
    Hitachi Energy AFS/AFR Series Products

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia

更新履歴

2023/07/03
日本電気株式会社のベンダステータスが更新されました
2023/08/17
三菱電機株式会社のベンダステータスが更新されました
2023/09/01
日本電気株式会社のベンダステータスが更新されました
2023/10/05
三菱電機株式会社のベンダステータスが更新されました
2023/12/21
三菱電機株式会社のベンダステータスが更新されました
2024/05/27
オムロン株式会社のベンダステータスが更新されました
2024/07/24
[ベンダ情報]、[参考情報]にリンクを追加しました
2024/09/12
日本電気株式会社のベンダステータスが更新されました