JVNVU#91973538
OpenSSL における暗号通信を解読可能な脆弱性 (Raccoon Attack)

OpenSSL には、暗号通信を解読可能な脆弱性が存在します。

• OpenSSL 1.0.2w より前の OpenSSL 1.0.2 系のバージョン

OpenSSL Project より、OpenSSL Security Advisory [09 September 2020] が公開されました。
深刻度 - 低 (Severity: Low)

Raccoon Attack の問題 - CVE-2020-1968

Diffie-Hellman 鍵交換を行うプログラムを使用した場合、中間者攻撃が可能な環境で TLS ハンドシェイク時に使用する pre-master secret が解かれ、サーバとクライアント間でやり取りされる通信内容を解読される (Raccoon Attack) 可能性があります。

中間者攻撃を行う第三者によって、暗号化された通信内容を解読される可能性があります。

アップデートする
OpenSSL 1.0.2 はサポートが終了しているため、今後アップデートを受けることができません。そのため開発者は、OpenSSL 1.0.2 のプレミアムサポートを契約したユーザを除き、OpenSSL 1.1.1 へアップグレードすることを推奨しています。
なお、OpenSSL 1.1.0 はサポートが終了しているため、本脆弱性の評価を行っていないとのことです。

また、開発者は OpenSSL 1.0.2 のプレミアムサポートを契約したユーザに向けて、本脆弱性を修正した次のバージョンの OpenSSL を提供しています。

• OpenSSL 1.0.2w

• ランタイム設定で Diffie-Hellman 鍵交換を無効にする