JVNVU#91755094
OpenSSLにおけるサービス運用妨害（DoS）の脆弱性（Security Advisory [3rd September 2024]）

OpenSSL Projectより、OpenSSL Security Advisory [3rd September 2024]（"Possible denial of service in X.509 name checks (CVE-2024-6119)"）が公開されました。

• OpenSSL 3.3
• OpenSSL 3.2
• OpenSSL 3.1
• OpenSSL 3.0

深刻度－中（Severity：Moderate）
OpenSSLを用いるアプリケーションにおいてX.509サーバ証明書の検証を行う際、Subject Alternative Nameフィールド内の otherName の検証時に誤ったメモリアドレスを参照してアクセスエラーが生じる問題（CWE-843、CVE-2024-6119）が報告されています。

なお本脆弱性は、証明書チェーンの検証には影響を与えません。一般的にTLSサーバがクライアント証明書を要求することは少なく、要求する場合においても識別子に対する名前のチェックは行われないため、影響は限定的となります。

アプリケーションプログラムが予期せず終了し、サービス運用妨害（DoS）状態となる可能性があります。

アップデートする
開発者は本脆弱性を修正した以下バージョンをリリースしました。

• OpenSSL 3.3.2（3.3系ユーザ向け）
• OpenSSL 3.2.3（3.2系ユーザ向け）
• OpenSSL 3.1.7（3.1系ユーザ向け）
• OpenSSL 3.0.15（3.0系ユーザ向け）