OpenSSLに関しての脆弱性情報 ( Low: CVE-2018-0734, CVE-2018-0735 )


こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

こちらでは主にOSSの脆弱性を取り上げていきます。10/29/2018に、opensslに関しての脆弱性情報 ( CVE-2018-0734, CVE-2018-0735 )が公開されました。PriorityはLowで影響は少なく修正版も出ませんが、念の為、この脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。

10/30にCVE-2018-0734も出たため、併せて追加しました。




影響するバージョン

  • CVE-2018-0734: OpenSSL: 1.1.0-1.1.0i, 1.1.1

    Severity: Lowのため、個別に修正は出ません。

  • CVE-2018-0735: OpenSSL: 1.1.0-1.1.0i, 1.1.1

    Severity: Lowのため、個別に修正は出ません。

Priority

Low

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • CVE-2018-0735
    • タイミングサイドチャネル攻撃の脆弱性
    • 重要度 - Low
    • 対象:OpenSSL 1.1.0-1.1.0i, 1.1.1
    • EDCSA署名アルゴリズムにはタイミングサイドチャネル攻撃の脆弱性があります。攻撃者はこれを用いて署名アルゴリズムのプライベート鍵を復活させることが出来ます。

      この問題は重要度がLowのため、このタイミングではOpenSSL 1.1.1と1.1.0で新しいバージョンはリリースされません。この修正は将来のOpenSSL 1.1.1aと1.1.0jに含まれる予定です。

  • CVE-2018-0734
    • タイミングサイドチャネル攻撃の脆弱性
    • 重要度 - Low
    • 対象:OpenSSL 1.1.0-1.1.0i, 1.1.1
    • DSA署名アルゴリズムにはタイミングサイドチャネル攻撃の脆弱性があります。攻撃者はこれを用いて署名アルゴリズムのプライベート鍵を復活させることが出来ます。

      この問題は重要度がLowのため、このタイミングではOpenSSL 1.1.1と1.1.0で新しいバージョンはリリースされません。この修正は将来のOpenSSL 1.1.1aと1.1.0jに含まれる予定です。


主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

なお、OpenSSL 1.0.1シリーズ以前のバージョンは本家ではサポート終了となっておりますので詳しい情報は各ディストリビューションの提供元にご確認下さい。


対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

また、OSの再起動が発生しますので、peacemakerなどOSSのクラスタ製品を使うとサービス断の時間を最小限にすることが出来ます。

[参考]

https://www.openssl.org/news/vulnerabilities.html

CVE-2018-0735: https://www.openssl.org/news/secadv/20181029.txt

CVE-2018-0734: https://www.openssl.org/news/secadv/20181030.txt

セキュリティ系連載案内


セミナー情報 1

2018/11/05 19:00に、「2018年秋のBPFまつり」と題しまして、OSSセキュリティ技術の会 第四回勉強会を行います。

今回のテーマはBPF(Berkeley Packet Filter)になります。

https://secureoss-sig.connpass.com/event/103763/がプログラム内容と申し込みの詳細になります。奮ってご参加下さい。

セミナー情報 2

2018/11/14 17:00に、「NGINX MeetUp Tokyo #1」を行います。

今回はNGINX .conf 2018 現地参加者より最新情報を共有させて頂きます。

https://nginx-mj.connpass.com/event/103617/がプログラム内容と申し込みの詳細になります。奮ってご参加下さい。

OSSに関するお困りごとは サイオス OSSよろず相談室まで

サイオスOSSよろず相談室 では、OSSを利用する中で発生する問題に対し、長年培ってきた技術力・サポート力をもって企業のOSS活用を強力に支援します。Red Hat Enterprise Linux のほか、CentOS をご利用されている環境でのサポートも提供いたします。

前へ

OpenSSLに関しての脆弱性情報 ( Low: CVE-2018-0734, CVE-2018-0735 )

次へ

Linux Kernelの脆弱性情報(Moderate: CVE-2018-18281)