TLS-DH(E)に関する攻撃手法(Raccoon Attack : CVE-2020-5929 (F5), CVE-2020-1968 (OpenSSL), CVE-2020-12413 (Mozilla), CVE-2020-1596 (Microsoft) )

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面和毅です。

09/09/2020に”Raccoon Attack”と呼ばれる、TLS-DH(E)に関する攻撃手法が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューション／各社の対応について簡単に纏めてみます。

関連するCVEはCVE-2020-5929 (F5), CVE-2020-1968 (OpenSSL), CVE-2020-12413 (Mozilla), CVE-2020-1596 (Microsoft)になります。

2020/09/13 追記：wolfSSL(影響なし)を追記しました。JVNのリンクを追加しました。

[過去の関連リンク(最新5件)]

INTELのセキュリティアドバイザリ(INTEL-SA-00320: Special Register Buffer Data Sampling Advisory (CVE-2020-0543))

UPnPデバイスに関する脆弱性情報(CallStranger : CVE-2020-12695)

hostapdに関する複数の脆弱性情報(CVE-2019-5061, CVE-2019-5062: 「W1.fi hostapd CAM table denial-of-service vulnerability」/「W1.fi hostapd deauthentication denial-of-service vulnerability」)

Intell CPUの脆弱性 (Voltage modulation vulnerability : CVE-2019-11139)

Intell CPUの脆弱性 (TSX Asynchronous Abort (TAA): CVE-2019-11135)

Netflix報告: HTTP2実装に起因するリモート攻撃可能なDoSの脆弱性 (CVE-2019-9511, CVE-2019-9512, CVE-2019-9513, CVE-2019-9514, CVE-2019-9515, CVE-2019-9516, CVE-2019-9517, CVE-2019-9518)

一次情報源(各ベンダの対応状況も載っています)

Raccoon Attack

(論文のPDF) Raccoon Attack:Finding and Exploiting Most-Significant-Bit-Oracles in TLS-DH(E)

主要ベンダ対応状況

Priority

CVE番号	ソフトウェア	Priority	CVSS Score / CVSS Vector
CVE-2020-1968	OpenSSL	Low	Red Hat: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
CVE-2020-12413	Mozilla

今回の問題

詳しくは一次情報源の情報を確認して下さい。画像つきでわかりやすく開設されています。

CVE概要(詳細はCVEのサイトをご確認ください)

TLS接続でDiffie-Hellman(DH)鍵交換はよく知られている鍵交換方法です。TLSピアでそれぞれ秘密鍵(a, b)を生成し、公開鍵をg^a mod p, g^b mod pとして計算します。これらの公開鍵がTLS KeyExchange メッセージで送られ、クライアントとサーバはg^(ab) mod p　（premaster secret)を生成し、TLSセッションでの鍵の元として使用します。

今回のRaccoon Attack ではTLSのサイドチャネル攻撃になります。TLS 1.2以前のバージョンでは、premaster secretの先頭の全てのゼロバイトは、その後の計算で使用される前に取り除かれることが規定されています。premaster secretの結果は異なるタイミングプロファイルのハッシュ関数に基づく鍵導出の関数の入力値となるため、タイミングを正確に測定することで、攻撃者がTLSサーバーからオラクルを構築できる可能性があります。このオラクルは、計算されたpremaster secretがゼロで始まるかどうかを攻撃者に知らせます。例えば、攻撃者はクライアントから送信されたg^aを盗聴してサーバに再送信し、結果のpremaster secretがゼロで始まるかどうかを確認することが出来ます。

premaster secretから1バイト学習しただけでは攻撃の手助けにはなりません。しかしながら、攻撃者がg^aを含むClientKeyExchangeメッセージを傍受したとします。攻撃者はg^aに関係した値を作成し、個別のTLSハンドシェイクでサーバーに送信できるようになります。より具体的には、攻撃者はg^ri*g^aを構成することで、g^rj*b*g^(ab)をpremaster secretとして作れます。攻撃者は、サーバのタイミング動作に基づいて、ゼロから始まるpremaster secretにつながる値を見つけることが出来ます。結果的に、攻撃者が一連の法的式を構築し、隠し番号問題(HNP)No解法を用いてクライアントとサーバ間で確立されたpremaster secretを計算するのに役立ちます。

(OSSのみ)主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

OpenSSL
- Debian
  https://security-tracker.debian.org/tracker/CVE-2020-1968
- Red Hat Enterprise Linux/CentOS
  https://access.redhat.com/security/cve/CVE-2020-1968
- Ubuntu
  https://people.canonical.com/~ubuntu-security/cve/2020/CVE-2020-1968.html
- SUSE/openSUSE
  https://www.suse.com/security/cve/CVE-2020-1968.html
Mozilla
- Debian
  https://security-tracker.debian.org/tracker/CVE-2020-12413
- Red Hat Enterprise Linux/CentOS
  https://access.redhat.com/security/cve/CVE-2020-12413
- Ubuntu
  https://people.canonical.com/~ubuntu-security/cve/2020/CVE-2020-12413.html
- SUSE/openSUSE
  https://www.suse.com/security/cve/CVE-2020-12413.html

対処方法

各ディストリビューション／ベンダーの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

[参考]

Raccoon Attack

(論文のPDF) Raccoon Attack:Finding and Exploiting Most-Significant-Bit-Oracles in TLS-DH(E)

セキュリティ系連載案内

日経Linux 2020年9月号では、OSSセキュリティ技術の会により「やってはいけない大実験」という記事を執筆しています。
OSSセキュリティ技術の会による日経Linuxでの連載「IoT時代の最新SELinux入門」がITPro上で読めるようになりました。技術の会代表で第一人者である中村さん等による、最新のSELinuxの情報やコマンド類等も更新されているのでお薦めです。
OSSセキュリティ技術の会によるThinkITでの連載「開発者のためのセキュリティ実践講座」がThinkIT上で開始しました。技術の会の中の人間で、最新の代表的なOSSセキュリティ技術を紹介していきます。
OSSセキュリティ技術の会により、ThinkITでLinuxSecuritySummit 2018のレポートが紹介されています。
OSSセキュリティ技術の会の面により、@ITで「OSS脆弱性ウォッチ」が連載されています。
OSSセキュリティ技術の会の面により、@ITで「OpenSCAPで脆弱性対策はどう変わる？」が連載されています。
OSSセキュリティ技術の会のメンバーにより、@ITで「Berkeley Packet Filter（BPF）入門」が連載されています。

セミナー情報1

コンピュータセキュリティシンポジウム(CSS)2020併設のワークショップ、 OSSセキュリティ技術ワークショップ(OWS) 2020の企画講演セッション及び、一般論文セッションの発表募集をさせていただきます。

今年度はオンラインでの開催となります。奮ってのご投稿、お待ちしております。

https://www.iwsec.org/ows/2020/