公開日:2023/04/24 最終更新日:2023/04/24

JVNVU#91545757
OpenSSLの64ビットARM向けAES-XTS実装における入力バッファ外読み込みの脆弱性(Security Advisory [20th April 2023])

概要

OpenSSL Projectより、OpenSSL Security Advisory [20th April 2023](Input buffer over-read in AES-XTS implementation on 64 bit ARM (CVE-2023-1255))が公開されました。

影響を受けるシステム

  • OpenSSL 3.0.0
  • OpenSSL 3.0.8
  • OpenSSL 3.1.0

詳細情報

OpenSSL Projectより、OpenSSL Security Advisory [20th April 2023](Input buffer over-read in AES-XTS implementation on 64 bit ARM (CVE-2023-1255))が公開されました。

深刻度 - 低(Severity: Low)
OpenSSLの64ビットARMプラットフォーム用AES-XTS復号処理の実装に、暗号文のサイズが5の倍数プラス4バイト(例えば、144バイトや1024バイト)の場合に暗号文バッファの末尾を超えて読み込みをする脆弱性があります。

想定される影響

64ビットARMプラットフォーム上でAES-XTSアルゴリズムを使用するアプリケーションにおいて、攻撃者が暗号文バッファのサイズとメモリアドレスを制御できる場合、アプリケーションがクラッシュさせられ、サービス運用妨害(DoS)攻撃を受ける可能性があります。

対策方法

修正を適用する
開発者によると、本脆弱性の深刻度は低であるため本脆弱性の修正に対応するリリースは提供せず、修正内容は通常の次期リリースに含まれる予定となっています。なお、本脆弱性の修正は以下のコミットで行われています。

  • commit bc2f61ad(3.1ユーザ向け)
  • commit 02ac9c94(3.0ユーザ向け)

参考情報

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia

更新履歴

2023/04/24
[詳細情報]の誤記を修正しました