OpenSSLの脆弱性 ( CVE-2018-0732 )




06/12/2018に、opensslに関しての脆弱性情報 ( CVE-2018-0732 )が公開されました。PriorityはLowで影響は少なく修正版も出ませんが、念の為、この脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。


こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

06/12/2018に、opensslに関しての脆弱性情報 ( CVE-2018-0732 )が公開されました。PriorityはLowで影響は少なく修正版も出ませんが、念の為、この脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。



影響するバージョン

CVE-2018-0732: OpenSSL: 1.1.0-1.1.0h, 1.0.2b-1.0.2o

Severity: Lowのため、個別に修正は出ません。

Priority

Low

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

    • CVE-2018-0732

      • DoSの可能性

      • 重要度 - Low

      • 対象:OpenSSL 1.0.2b-1.0.2o , 1.1.0-1.1.0h

      • DH(E)ベースの暗号化をTLSハンドシェイク時の鍵合意中に、悪意のあるサーバは非常に大きなprime値をクライアントに送ることが出来ます。これにより、クライアントはこのprime鍵を生成するために不当に長い時間を費やし、終了するまでハングします。これは、DoS攻撃として悪用される可能性が有ります。

この問題は重要度がLowのため、このタイミングではOpenSSL 1.1.0と1.0.2で新しいバージョンはリリースされません。この修正は将来のOpenSSL 1.1.0iと1.0.2pに含まれる予定です。


主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

なお、OpenSSL 1.0.1シリーズ以前のバージョンは本家ではサポート終了となっておりますので詳しい情報は各ディストリビューションの提供元にご確認下さい。


対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

また、OSの再起動が発生しますので、peacemakerなどOSSのクラスタ製品を使うとサービス断の時間を最小限にすることが出来ます。

[参考]

https://www.openssl.org/news/vulnerabilities.html

https://www.openssl.org/news/secadv/20180612.txt

セキュリティ系連載案内

前へ

GnuPGの脆弱性(CVE-2018-12020)

次へ

Puppet Agentの脆弱性(CVE-2018-6514 , CVE-2018-6515 )