こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。

3月1日にOpenSSLの脆弱性「DROWN(Decrypting RSA with Obsolete and Weakened eNcryption)」についての情報と、更新版がリリースされました。今回はこの「DROWN」と、最新版で修正された脆弱性について簡単にまとめてみます。

High(CVE-2016-0800, CVE-2016-0703), Moderate(CVE-2016-0704), Low(Other)

OpenSSLのバージョンを1.0.2g/1.0.1sにあげてください。また各ディストリビューションの情報を確認してください。

• CVE-2016-0800(DROWN)

• SSLv2をサポートしている場合、Cross-Protocol攻撃により、TLSセッションが復号化される可能性

• 重要度 – 高

• サーバがSSLv2や輸出仕様の暗号をサポートしている際に、Cross-Protocol攻撃という手法により、TLSセッションが復号化される可能性があります。これはSSLv2がデフォルトで有効になっている他のサーバ(Apache, Postfix, Nginx)などにも影響があります。

• DROWN攻撃の詳しい説明は、特別なサイト(drownattack.com)がありますので、参照したほうが良いでしょう。

• CVE-2016-0705

• DSAコードでのメモリの二重開放によるDoS攻撃

• 重要度 – 低

• OpenSSL 1.0.1r/1.0.2f以前のバージョンで、不正なDSAプライベート鍵が渡された時にメモリの二重開放が行われることにより、DoS攻撃を引き起こすことが可能でした。

• CVE-2016-0798

• SRPデータベース参照時のメモリリーク

• 重要度 – 低

• OpenSSL 1.0.1r/1.0.2f以前のバージョンで、SRPユーザデータベース参照時のメモリ管理のバグにより、メモリークが発生することがあります。

• CVE-2016-0797

• BN_hex2bn/BN_dec2bn関数によるNULLポインタ参照/ヒープコラプション

• 重要度 – 低

• BN_hex2bn/BN_dec2bn関数にバグが存在し、ヒープコラプションを起こす可能性があります。

• CVE-2016-0799

• BIO_*printf関数によるOOB読み取りの可能性

• 重要度 – 低

• BIO_*printf()関数のバグにより、OOB Readの可能性があります。

• CVE-2016-0702(Cachebleed)

• Intelプロセッサ上のサイドチャネル攻撃の可能性(CacheBleed)

• 重要度 – 低

• Intelプロセッサのキャッシュでバンク競合が発生し、これを介して情報が漏洩する可能性があります。

• このCacheBleedの詳しい情報はこちらの特別なサイトに情報があります。

• CVE-2016-0703

• SSLv2での分割されたセッション鍵の複合の可能性

• 重要度 – 高

• こちらは以前のCVE-2015-0293の修正の際に対応されています。

• CVE-2016-0704

• SSLv2でのパディングオラクル攻撃の可能性

• 重要度 – 中間

• こちらは以前のCVE-2015-0293の修正の際に対応されています。

OpenSSL及び関係するパッケージのバージョンを更新する必要があります。

詳細は、各ディストリビューションの提供元にご確認ください

• debian

• https://security-tracker.debian.org/tracker/CVE-2016-0800

• https://security-tracker.debian.org/tracker/CVE-2016-0705

• https://security-tracker.debian.org/tracker/CVE-2016-0798

• https://security-tracker.debian.org/tracker/CVE-2016-0797

• https://security-tracker.debian.org/tracker/CVE-2016-0799

• https://security-tracker.debian.org/tracker/CVE-2016-0702

• https://security-tracker.debian.org/tracker/CVE-2016-0703

• https://security-tracker.debian.org/tracker/CVE-2016-0704

• Red Hat Enterprise Linux/CentOS

• https://access.redhat.com/security/cve/CVE-2016-0800

• https://access.redhat.com/security/cve/CVE-2016-0705

• https://access.redhat.com/security/cve/CVE-2016-0798

• https://access.redhat.com/security/cve/CVE-2016-0797

• https://access.redhat.com/security/cve/CVE-2016-0799

• https://access.redhat.com/security/cve/CVE-2016-0702

• https://access.redhat.com/security/cve/CVE-2016-0703

• https://access.redhat.com/security/cve/CVE-2016-0704

• OpenSUSE

• https://bugzilla.novell.com/show_bug.cgi?id=CVE-2016-0800

• https://bugzilla.novell.com/show_bug.cgi?id=CVE-2016-0705

• https://bugzilla.novell.com/show_bug.cgi?id=CVE-2016-0798

• https://bugzilla.novell.com/show_bug.cgi?id=CVE-2016-0797

• https://bugzilla.novell.com/show_bug.cgi?id=CVE-2016-0799

• https://bugzilla.novell.com/show_bug.cgi?id=CVE-2016-0702

• https://bugzilla.novell.com/show_bug.cgi?id=CVE-2016-0703

• https://bugzilla.novell.com/show_bug.cgi?id=CVE-2016-0704

• ubuntu

• http://people.canonical.com/%7Eubuntu-security/cve/2016/CVE-2016-0800.html

• http://people.canonical.com/%7Eubuntu-security/cve/2016/CVE-2016-0705.html

• http://people.canonical.com/%7Eubuntu-security/cve/2016/CVE-2016-0798.html

• http://people.canonical.com/%7Eubuntu-security/cve/2016/CVE-2016-0797.html

• http://people.canonical.com/%7Eubuntu-security/cve/2016/CVE-2016-0799.html

• http://people.canonical.com/%7Eubuntu-security/cve/2016/CVE-2016-0702.html

• http://people.canonical.com/%7Eubuntu-security/cve/2016/CVE-2016-0703.html

• http://people.canonical.com/%7Eubuntu-security/cve/2016/CVE-2016-0704.html

6/15に「OSSセキュリティナイター vol.1」と題して、セキュリティのセミナーを行います。この回では「急増するランサムウェア その脅威とOSSの対策」として、ランサムウェアのリスクとOSSでの対策方法などをお話します。

また、LinuxFoundationでのセキュリティに対する取り組みや、Rapid7(株)による脆弱性リスク管理も併せてご紹介します。

mkt-i.actonservice.com/acton/fs/blocks/showLandingPage/a/15078/p/p-0035/t/page/fm/0がプログラム内容と申し込みの詳細になりますので、是非お申し込み下さい。