nginxの脆弱性(Moderate: CVE-2025-23419)

02/05/2025にnginxの脆弱性(Moderate: CVE-2025-23419)が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。

一次情報源

• https://my.f5.com/manage/s/article/K000149173

CVSS/プライオリティ

• CVE-2025-23419
  • 影響するバージョン
    • N/A
  • Priority
    • Vendor: 5.3 Medium
    • Red Hat:
  • CVSS Score / CVSS Vector
    • Vendor: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
    • Red Hat:

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

• https://www.cve.org/CVERecord?id=CVE-2025-23419
  • TLS Session 再開の脆弱性
  • 名前ベースの仮想ホストが同じIPアドレスとポートの組み合わせでTLS1.3/OpenSSLを共有するように構成されている場合、事前に認証された攻撃者がセッション再開を使用して、これらのサーバーのクライアント証明書認証要件をバイパスできます。この脆弱性は、TLSセッションチケットが使用されている場合や、SSLセッションキャッシュがデフォルトの仮想サーバーで使用され、デフォルトの仮想サーバーがクライアント証明書認証を実行している場合に発生します。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

• Debian
  • https://security-tracker.debian.org/tracker/CVE-2025-23419
• Red Hat Enterprise Linux/CentOS/Rocky Linux/Alma Linux
  • https://access.redhat.com/security/cve/CVE-2025-23419
• Ubuntu
  • https://ubuntu.com/security/CVE-2025-23419
• SUSE/openSUSE
  • https://www.suse.com/security/cve/CVE-2025-23419.html

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。

[参考]

• https://my.f5.com/manage/s/article/K000149173