現在位置: ホーム / セキュリティ ブログ / OpenSSLに複数の脆弱性 ( CVE-2017-3730 , CVE-2017-3731 , CVE-2017-3732 )

OpenSSLに複数の脆弱性 ( CVE-2017-3730 , CVE-2017-3731 , CVE-2017-3732 )

1月26日にOpenSSLの脆弱性についての情報 ( CVE-2017-3730, CVE-2017-3731, CVE-2017-3732 )と、更新版がリリースされました。今回は最新版で修正された脆弱性と、各ディストリビューションの対応について簡単にまとめてみます。

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。

1月26日にOpenSSLの脆弱性についての情報(CVE-2017-3730, CVE-2017-3731, CVE-2017-3732)と、更新版がリリースされました。今回は最新版で修正された脆弱性と、各ディストリビューションの対応について簡単にまとめてみます。

 


Priority

Moderate

修正方法

OpenSSL 1.1.0のユーザはバージョンを1.1.0dに、1.0.2のユーザは1.0.2kにあげてください。また各ディストリビューションの情報を確認してください。

影響するバージョン

OpenSSLバージョンCVE-2017-3730CVE-2017-3731CVE-2017-3732CVE-2016-7055
1.1.0 1.1.0c以前 1.1.0c以前 1.1.0c以前 ---
1.0.2 影響なし 1.0.2j以前 1.0.2j以前 1.0.2j以前

CVE概要(詳細はCVEのサイトをご確認ください)

  • CVE-2017-3731
    • 切り詰められた(Truncated)パケットが境界外読み取り(OOB Read)を引き起こしクラッシュさせる

    • 重要度 - Moderate

    • SSL/TLSのサーバ又はクライアントが32ビットのホストで動作しているときで、特定のCipherが使用されている際には、切り詰められたパケットによりサーバ又はクライアントが境界外読み取り(OOB read)を引き起こし、通常結果としてクラッシュを引き起こします。

      OpenSSL 1.1.0の場合にはCHACHA20/POLY1305を使用している場合が該当します。

      OpenSSL 1.0.1の場合にはRC4-MD5を使用している場合が該当します。

  • CVE-2017-3730
    • 不正なEC/ECDHEパラメータによるクライアントのクラッシュによるDoSの可能性

    • 重要度 - Moderate

    • 悪意のあるサーバがDHE又はECDHEキー交換で不正なパラメータを提供した場合、クライアントがNULLポインタ参照を行いクラッシュします。これによるDoSを引き起こされる可能性が有ります。

  • CVE-2017-3732
    • BN_mod_expがx86_64で不正な結果を提供する可能性

    • 重要度 - Moderate

      x86_64モンゴメリスクエア法にキャリープロパゲーションバグが存在しました。ECアルゴリズムは影響を受けません。RSA及びDSAに対する攻撃は実行が非常に困難です。DHに対する攻撃は限られた攻撃者しか実行できないため困難ですが可能です。この問題はCVE-2015-3193と非常によく似ていますが、別の問題です。

  • CVE-2016-7055
    • 重要度 - Low

      OpenSSL 1.1.0に関しては前回の修正に含まれています。

      OpenSSL 1.0.2に関して、予告通り今回の修正に含まれました。


主なディストリビューションの対応方法

OpenSSL及び関係するパッケージのバージョンを更新する必要があります。

詳細は、各ディストリビューションの提供元にご確認ください


対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat Satelliteを使うと管理が便利でしょう。

Red Hat Satelliteを用いた一般的なErattaの適用は、『Red Hat Satellite 6でerrataを適用してみる』を参考にして下さい。

また、OpenSSLのライブラリを使用しているサービスの再起動が発生しますので、pacemakerなどOSSのクラスタ製品LifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。


セミナー情報

3/10(金)の12:00から、明星大学 日野キャンパス(多摩モノレール 「中央大学・明星>大学駅」から大学まで直結。会場まで徒歩6分)にて開催されるオープンソースカンファレン ス2017 Tokyo/Springで、本ブログ執筆者の面 和毅がOSSセキュリティ技術の会発足の紹 介として、プラットフォームの全般的なセキュリティの紹介を行います。OSCに参加>される方、またお近くの方で御時間が有りましたら、是非ご参加下さい。


OSSに関するお困りごとは サイオス OSSよろず相談室まで

サイオスOSSよろず相談室 では、OSSを利用する中で発生する問題に対し、長年培ってきた技術力・サポート力をもって企業のOSS活用を強力に支援します。Red Hat Enterprise Linux のほか、CentOS をご利用されている環境でのサポートも提供いたします。

OSSよろず相談室

サイオスOSSよろず相談室(2)

問い合わせボタン