OpenSSLの脆弱性情報(High: CVE-2021-3449, CVE-2021-3450 )

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

03/25/2021 (JST) に予告どおりOpenSSLの脆弱性情報(High: CVE-2021-3449, CVE-2021-3450 )が公開されています。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。





Priority

CVE番号 影響するバージョン Priority CVSS Score / CVSS Vector
CVE-2021-3449 1.1.1-1.1.1j

Vendor: High

Red Hat: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Red Hat:5.9 Important

CVE-2021-3450 1.1.1h-1.1.1j

Vendor: High

Red Hat:7.4 Important

Red Hat: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-3449
    • Nullポインタ被参照によるクラッシュの可能性
    • 重要度 - High
    • 対象 - OpenSSL 1.1.1-1.1.1j
    • 悪意のあるクライアントから細工された再ネゴシエーションのClientHelloメッセージを送られた際にOpenSSL TLSサーバがクラッシュします。TLSv1.2の再ネゴシエーションClientHelloが(最初のClientHelloにはあった)signature_algorithm拡張をオミットした場合で、signature_algorithms_cert extensionを含んでいる場合NULLポインタ被参照が発生しクラッシュとDoS攻撃の引き金となります。サーバはTLSv1.2で再ネゴシエーションが有効になっている場合(これはデフォルトの設定です)にのみ、この脆弱性が発生します。OpenSSL TLSクライアントはこの問題の影響を受けません。全てのOpenSSL 1.1.1バージョンが影響を受けます。
  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-3450
    • オーバーフローによるクラッシュの可能性
    • 重要度 - Higj
    • 対象 - OpenSSL 1.1.1h-1.1.1i
    • X509_V_FLAG_X509_STRICTフラグは証明書チェインの中で付加的なセキュリティチェックとして使用できます。これはデフォルトではセットされていません。OpenSSL 1.1.1hからは、明示的にエンコードされた楕円曲線パラメータを持つチェーン内の証明書を無視しないという厳密なチェックが追加されました。このチェックの実装にエラーがあり、前のチェックがチェーン内の証明書が有効なチェックによって上書きされる可能性があり、CA証明書以外で発行された証明書がチェックをバイパスする可能性があります。


対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteKatello、Spacewalk等を使うと管理が便利でしょう。

また、サービスの再起動が発生する場合には、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。


セキュリティ系連載案内

CM

こちらで小学生の勉強支援サイトをオープンしました。算数のプリント(都度、自動生成)が無料でダウンロードできます。コンテンツは未だ少ないですが、徐々に増やしていきます。


OSSに関するお困りごとは サイオス OSSよろず相談室まで

サイオスOSSよろず相談室 では、OSSを利用する中で発生する問題に対し、長年培ってきた技術力・サポート力をもって企業のOSS活用を強力に支援します。Red Hat Enterprise Linux のほか、CentOS をご利用されている環境でのサポートも提供いたします。

前へ

Linux Kernelの脆弱性(CVE-2021-28950, CVE-2021-28951, CVE-2021-28952)

次へ

Linux Kernelの脆弱性(Moderate: CVE-2021-29646, CVE-2021-29648, CVE-2021-29649, CVE-2021-29650, Low: CVE-2021-29647)