OpenSSLの脆弱性(CVE-2016-8610 : SSL Death Alert)

10月24日に新たに「SSL Death Alert」というOpenSSLの脆弱性についての情報が公開されました。前回(9月22日)の対応で修正されている問題ですが、念の為、各ディストリビューションの対応について簡単にまとめてみます。

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。

情報源

OpenSSLのバージョンを1.0.2j/1.1.0bにあげてください。また各ディストリビューションの情報を確認してください。

リモートからの”SSL3_AL_WARNING”パケットによるDoSの可能性(SSL Death Alert)
ssl/s3_pkt.c中の”ssl3_read_bytes”関数の実装に問題が有り、リモートからハンドシェイク中に”SSL3_AL_WARNING”パケットを多数送ることによりDoSを引き起こすことが可能です。

OpenSSL及び関係するパッケージのバージョンを更新する必要があります。

詳細は、各ディストリビューションの提供元にご確認ください

各ディストリビューションの案内に従い、アップデートを行ってください。

また、OpenSSLのライブラリを使用しているサービスの再起動が発生しますので、pacemakerなど OSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。

11/30(水)に「OSSセキュリティナイター vol.3」と題して、セキュリティのセミナーを行います。

この回では、世界で最も利用されているオープンソースデータベースであるMySQLを取り上げ、『MySQLデータベースのセキュリティを考える〜重要データを守るために必要なこと〜』と題してセミナーを開催します。

今回も、前回に引き続き、ゲスト講師としてMySQLスペシャリストをお招きし講演をいただきます。

http://connpass.com/event/44819/がプログラム内容と申し込みの詳細になりますので、是非お申し込み下さい。

関連コンテンツ: OpenSSLに複数の脆弱性（ CVE-2016-6304 , CVE-2016-6305 , SWEET32 等）; OpenSSLの脆弱性 (CVE-2016-0800(DROWN),CVE-2016-0705,CVE-2016-0798,CVE-2016-0797,CVE-2016-0799,CVE-2016-0702(CacheBleed),CVE-2016-07-03,CVE-2016-0704); OpenSSLに複数の脆弱性(CVE-2016-2107, CVE-2016-2108等)

—–