JVNVU#95772889
OpenSSLにおける秘密鍵のタイミング攻撃に対する問題（OpenSSL Security Advisory [20th January 2025]）

OpenSSL Projectより、OpenSSL Security Advisory [20th January 2025]（"Timing side-channel in ECDSA signature computation (CVE-2024-13176)"）が公開されました。

• OpenSSL 3.4.1より前の3.4系バージョン
• OpenSSL 3.3.3より前の3.3系バージョン
• OpenSSL 3.2.4より前の3.2系バージョン
• OpenSSL 3.1.8より前の3.1系バージョン
• OpenSSL 3.0.16より前の3.0系バージョン
• OpenSSL 1.1.1zbより前の1.1.1系バージョン
• OpenSSL 1.0.2zlより前の1.0.2系バージョン

深刻度－低（Severity：Low）
OpenSSLにおけるECDSA署名計算には、秘密鍵が復元される可能性のあるタイミング攻撃に対する問題（CWE-385、CVE-2024-13176）が報告されています。
ただし、本問題を悪用するには、署名アプリケーションへのローカルアクセスまたは低レイテンシの高速ネットワーク接続が必須となるため、深刻度は低となっています。

秘密鍵を復元される可能性があります。

アップデートする
開発者は本脆弱性を修正した以下バージョンをリリースしました。

• OpenSSL 3.4.1（3.4系ユーザー向け）
• OpenSSL 3.3.3（3.3系ユーザー向け）
• OpenSSL 3.2.4（3.2系ユーザー向け）
• OpenSSL 3.1.8（3.1系ユーザー向け）
• OpenSSL 3.0.16（3.0系ユーザー向け）
• OpenSSL 1.1.1zb（1.1.1系ユーザー向け）
• OpenSSL 1.0.2zl（1.0.2系ユーザー向け）