OpenSSLに複数の脆弱性 ( CVE-2017-3730 , CVE-2017-3731 , CVE-2017-3732 )
こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。
1月26日にOpenSSLの脆弱性についての情報(CVE-2017-3730, CVE-2017-3731, CVE-2017-3732)と、更新版がリリースされました。今回は最新版で修正された脆弱性と、各ディストリビューションの対応について簡単にまとめてみます。
関連するCVE
CVE-2017-3731,CVE-2017-3730,CVE-2017-3732,CVE-2016-7055(1.0.2での修正。前回のアドバイザリで予告されたものになります)
Priority
Moderate
修正方法
OpenSSL 1.1.0のユーザはバージョンを1.1.0dに、1.0.2のユーザは1.0.2kにあげてください。また各ディストリビューションの情報を確認してください。
影響するバージョン
| OpenSSLバージョン | CVE-2017-3730 | CVE-2017-3731 | CVE-2017-3732 | CVE-2016-7055 |
|---|---|---|---|---|
| 1.1.0 | 1.1.0c以前 | 1.1.0c以前 | 1.1.0c以前 | — |
| 1.0.2 | 影響なし | 1.0.2j以前 | 1.0.2j以前 | 1.0.2j以前 |
CVE概要(詳細はCVEのサイトをご確認ください)
- CVE-2017-3731
切り詰められた(Truncated)パケットが境界外読み取り(OOB Read)を引き起こしクラッシュさせる
重要度 – Moderate
SSL/TLSのサーバ又はクライアントが32ビットのホストで動作しているときで、特定のCipherが使用されている際には、切り詰められたパケットによりサーバ又はクライアントが境界外読み取り(OOB read)を引き起こし、通常結果としてクラッシュを引き起こします。
OpenSSL 1.1.0の場合にはCHACHA20/POLY1305を使用している場合が該当します。
OpenSSL 1.0.1の場合にはRC4-MD5を使用している場合が該当します。
- CVE-2017-3730
不正なEC/ECDHEパラメータによるクライアントのクラッシュによるDoSの可能性
重要度 – Moderate
悪意のあるサーバがDHE又はECDHEキー交換で不正なパラメータを提供した場合、クライアントがNULLポインタ参照を行いクラッシュします。これによるDoSを引き起こされる可能性が有ります。
- CVE-2017-3732
BN_mod_expがx86_64で不正な結果を提供する可能性
重要度 – Moderate
x86_64モンゴメリスクエア法にキャリープロパゲーションバグが存在しました。ECアルゴリズムは影響を受けません。RSA及びDSAに対する攻撃は実行が非常に困難です。DHに対する攻撃は限られた攻撃者しか実行できないため困難ですが可能です。この問題はCVE-2015-3193と非常によく似ていますが、別の問題です。
- CVE-2016-7055
重要度 – Low
OpenSSL 1.1.0に関しては前回の修正に含まれています。
OpenSSL 1.0.2に関して、予告通り今回の修正に含まれました。
主なディストリビューションの対応方法
OpenSSL及び関係するパッケージのバージョンを更新する必要があります。
詳細は、各ディストリビューションの提供元にご確認ください
Debian
Red Hat Enterprise Linux/CentOS
OpenSUSE/SuSE
ubuntu
対処方法
各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat Satelliteを使うと管理が便利でしょう。
Red Hat Satelliteを用いた一般的なErattaの適用は、『Red Hat Satellite 6でerrataを適用してみる』を参考にして下さい。
また、OpenSSLのライブラリを使用しているサービスの再起動が発生しますので、pacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。
セミナー情報
3/10(金)の12:00から、明星大学 日野キャンパス(多摩モノレール 「中央大学・明星>大学駅」から大学まで直結。会場まで徒歩6分）にて開催されるオープンソースカンファレン
ス2017 Tokyo/Springで、本ブログ執筆者の面 和毅がOSSセキュリティ技術の会発足の紹
介として、プラットフォームの全般的なセキュリティの紹介を行います。OSCに参加>される方、またお近くの方で御時間が有りましたら、是非ご参加下さい。