OpenSSLの脆弱性情報(Low: CVE-2023-3817, CVE-2023-3446)と新バージョン(3.1.2, 3.0.10, 1.1.1v)リリース

08/01/2022 (JST) にOpenSSLの脆弱性情報(Low: CVE-2023-3817)が公開されています。今回はこちらの脆弱性の概要と、やや過去になりましたがCVE-2023-3446の脆弱性の概要を、各ディストリビューションの対応とともに簡単にまとめてみます。

OpenSSLの新バージョン(3.1.2, 3.0.10, 1.1.1v)もリリースされたため、表題を変更しました。

[過去関連リンク(最新5件)]

• OpenSSLの脆弱性情報(Moderate: CVE-2023-2650)
• OpenSSLの脆弱性情報(Low: CVE-2023-0465, CVE-2023-0466)
• OpenSSLの脆弱性情報(Low: CVE-2023-0464)
• OpenSSLの脆弱性情報(High: CVE-2023-3446, Moderate: CVE-2022-4203, CVE-2022-4304, CVE-2022-4450, CVE-2023-0215, CVE-2023-0216, CVE-2023-0217, CVE-2023-0401)と新バージョン(3.0.8, 1.1.1t)
• OpenSSLの脆弱性情報(Low: CVE-2022-3996)
• OpenSSLの脆弱性情報(High: CVE-2022-3786, CVE-2022-3602)と新バージョン(3.0.7, 1.1.1s)

一次情報源

• https://www.openssl.org/news/vulnerabilities.html
• https://www.openssl.org/news/secadv/20230719.txt
• https://www.openssl.org/news/secadv/20230731.txt

CVSS/プライオリティ

• CVE-2023-3817
  • 影響するバージョン
    • OpenSSL 3.1, 3.0, 1.1.1, 1.0.2
  • Priority
    • Vendor: Low
  • CVSS Score / CVSS Vector
    • N/A
• CVE-2023-3446
  • 影響するバージョン
    • OpenSSL 3.1, 3.0, 1.1.1, 1.0.2
  • Priority
    • Vendor: Low
  • CVSS Score / CVSS Vector
    • N/A

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-3817
  • DH q パラメータの確認に非常に時間がかかる問題(CVE-2023-3817)
  • 重要度 – Low
  • 対象 – OpenSSL 3.1, 3.0, 1.1.1, 1.0.2
  • DH_check()関数を使用しているアプリケーションに置いて、DH_check_ex()やEVP_PKEY_param_check()を用いてDH鍵やDHパラメータをチェックさせる際に長い遅延が発生することがあります。信頼できないソースから入手した鍵やパラメータを確認することでDoSにつながる可能性があります。 関数 DH_check() は、DH パラメータに対してさまざまなチェックを実行します。CVE-2023-3446の修正後、大きいqパラメータもこれらのチェックに対して非常に影響を及ぼすことが見つかりました。正しいq値の場合には、moduleus p値より大きくは出来ないため、qがpより大きい場合にはこれらのチェックを実行する必要はありません。 DH_check()を呼び出し、信頼できないソースから取得したキーまたはパラメータを提供するアプリケーションは、サービス拒否攻撃に対して脆弱になる可能性があります。 関数 DH_check() 自体は、他の多くの OpenSSL 関数によって呼び出されます。他の関数を呼び出すアプリケーションも同様に影響を受ける可能性があります。この影響を受ける他の関数は、DH_check_ex() と EVP_PKEY_param_check()になります。 “-check”オプションを使用する場合、OpenSSL dhparam および pkeyparam command lineアプリケーションも脆弱になります。
• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-3446
  • DH鍵とパラメータの確認に非常に時間がかかる問題(CVE-2023-3446)
  • 重要度 – Low
  • 対象 – OpenSSL 3.1, 3.0, 1.1.1, 1.0.2
  • DH_check()関数を使用しているアプリケーションに置いて、DH_check_ex()やEVP_PKEY_param_check()を用いてDH鍵やDHパラメータをチェックさせる際に長い遅延が発生することがあります。信頼できないソースから入手した鍵やパラメータを確認することでDoSにつながる可能性があります。 関数 DH_check() は、DH パラメータに対してさまざまなチェックを実行します。 これらのチェックの 1 つでは、係数 (「p」パラメータ) が大きすぎないことを確認します。 非常に大きな係数を使用しようとすると速度が遅くなり、OpenSSL は通常、長さが 10,000 ビットを超える係数を使用しません。 しかしながら、DH_check() 関数は、指定されたキーやパラメーターを様々にチェックします。 これらのチェックの一部では、大きすぎることが判明している場合でも、指定されたmodulus値を使用します。 DH_check()を呼び出し、信頼できないソースから取得したキーまたはパラメータを提供するアプリケーションは、サービス拒否攻撃に対して脆弱になる可能性があります。 関数 DH_check() 自体は、他の多くの OpenSSL 関数によって呼び出されます。他の関数を呼び出すアプリケーションも同様に影響を受ける可能性があります。この影響を受ける他の関数は、DH_check_ex() と EVP_PKEY_param_check()になります。 “-check”オプションを使用する場合、OpenSSL dhparam および pkeyparam command lineアプリケーションも脆弱になります。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

• Debian
  • https://security-tracker.debian.org/tracker/CVE-2023-3446
  • https://security-tracker.debian.org/tracker/CVE-2023-3817
• Red Hat Enterprise Linux/CentOS
  • https://access.redhat.com/security/cve/CVE-2023-3446
  • https://access.redhat.com/security/cve/CVE-2023-3817
• Ubuntu
  • https://www.suse.com/security/cve/CVE-2023-3446.html
  • https://www.suse.com/security/cve/CVE-2023-3817.html
• SUSE/openSUSE
  • https://ubuntu.com/security/CVE-2023-3446
  • https://ubuntu.com/security/CVE-2023-3817

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

[参考]

• https://www.openssl.org/news/vulnerabilities.html
• https://www.openssl.org/news/secadv/20230719.txt
• https://www.openssl.org/news/secadv/20230731.txt