TLS-DH(E)に関する攻撃手法(Raccoon Attack : CVE-2020-5929 (F5), CVE-2020-1968 (OpenSSL), CVE-2020-12413 (Mozilla), CVE-2020-1596 (Microsoft) )

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

09/09/2020に"Raccoon Attack"と呼ばれる、TLS-DH(E)に関する攻撃手法が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューション/各社の対応について簡単に纏めてみます。

関連するCVEはCVE-2020-5929 (F5), CVE-2020-1968 (OpenSSL), CVE-2020-12413 (Mozilla), CVE-2020-1596 (Microsoft)になります。

2020/09/13 追記:wolfSSL(影響なし)を追記しました。JVNのリンクを追加しました。


[過去の関連リンク(最新5件)]

複数のgrub2 と関連するLinux Kernel の脆弱性 (BootHole (CVE-2020-1968, etc.))

INTELのセキュリティアドバイザリ(INTEL-SA-00320: Special Register Buffer Data Sampling Advisory (CVE-2020-0543))

UPnPデバイスに関する脆弱性情報(CallStranger : CVE-2020-12695)

hostapdに関する複数の脆弱性情報(CVE-2019-5061, CVE-2019-5062: 「W1.fi hostapd CAM table denial-of-service vulnerability」/「W1.fi hostapd deauthentication denial-of-service vulnerability」)

Intell CPUの脆弱性 (Voltage modulation vulnerability : CVE-2019-11139)

Intell CPUの脆弱性 (TSX Asynchronous Abort (TAA): CVE-2019-11135)

Netflix報告: HTTP2実装に起因するリモート攻撃可能なDoSの脆弱性 (CVE-2019-9511, CVE-2019-9512, CVE-2019-9513, CVE-2019-9514, CVE-2019-9515, CVE-2019-9516, CVE-2019-9517, CVE-2019-9518)




Priority

CVE番号 ソフトウェア Priority CVSS Score / CVSS Vector
CVE-2020-1968 OpenSSL

Low

Red Hat: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

CVE-2020-12413 Mozilla

今回の問題

詳しくは一次情報源の情報を確認して下さい。画像つきでわかりやすく開設されています。

CVE概要(詳細はCVEのサイトをご確認ください)

TLS接続でDiffie-Hellman(DH)鍵交換はよく知られている鍵交換方法です。TLSピアでそれぞれ秘密鍵(a, b)を生成し、公開鍵をg^a mod p, g^b mod pとして計算します。これらの公開鍵がTLS KeyExchange メッセージで送られ、クライアントとサーバはg^(ab) mod p (premaster secret)を生成し、TLSセッションでの鍵の元として使用します。

今回のRaccoon Attack ではTLSのサイドチャネル攻撃になります。TLS 1.2以前のバージョンでは、premaster secretの先頭の全てのゼロバイトは、その後の計算で使用される前に取り除かれることが規定されています。premaster secretの結果は異なるタイミングプロファイルのハッシュ関数に基づく鍵導出の関数の入力値となるため、タイミングを正確に測定することで、攻撃者がTLSサーバーからオラクルを構築できる可能性があります。このオラクルは、計算されたpremaster secretがゼロで始まるかどうかを攻撃者に知らせます。例えば、攻撃者はクライアントから送信されたg^aを盗聴してサーバに再送信し、結果のpremaster secretがゼロで始まるかどうかを確認することが出来ます。

premaster secretから1バイト学習しただけでは攻撃の手助けにはなりません。しかしながら、攻撃者がg^aを含むClientKeyExchangeメッセージを傍受したとします。攻撃者はg^aに関係した値を作成し、個別のTLSハンドシェイクでサーバーに送信できるようになります。より具体的には、攻撃者はg^ri*g^aを構成することで、g^rj*b*g^(ab)をpremaster secretとして作れます。攻撃者は、サーバのタイミング動作に基づいて、ゼロから始まるpremaster secretにつながる値を見つけることが出来ます。結果的に、攻撃者が一連の法的式を構築し、隠し番号問題(HNP)No解法を用いてクライアントとサーバ間で確立されたpremaster secretを計算するのに役立ちます。


対処方法

各ディストリビューション/ベンダーの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteKatello、Spacewalk等を使うと管理が便利でしょう。


セキュリティ系連載案内

セミナー情報1

コンピュータセキュリティシンポジウム(CSS)2020併設のワークショップ、 OSSセキュリティ技術ワークショップ(OWS) 2020の企画講演セッション及び、 一般論文セッションの発表募集をさせていただきます。

今年度はオンラインでの開催となります。奮ってのご投稿、お待ちしております。

https://www.iwsec.org/ows/2020/


OSSに関するお困りごとは サイオス OSSよろず相談室まで

サイオスOSSよろず相談室 では、OSSを利用する中で発生する問題に対し、長年培ってきた技術力・サポート力をもって企業のOSS活用を強力に支援します。Red Hat Enterprise Linux のほか、CentOS をご利用されている環境でのサポートも提供いたします。

前へ

OpenSSLで管理者・マネージャ募集中の様です

次へ

ModSecurity v3の脆弱性情報(High: CVE-2020-15598)