こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。
11/20/2018(GMT)に、OpenSSLの新バージョン(1.1.1a/1.1.0j/1.0.2p)がリリースされました。公知のLowレベルの脆弱性に関しての修正版になります。今回は、新しい脆弱性が公開されたわけではありませんが、念の為、この脆弱性の概要についてのまとめを行います。
一次情報源
https://www.openssl.org/news/openssl-1.1.1-notes.html
修正された脆弱性(CVE)
- 1.1.1a : ( CVE-2018-0734, CVE-2018-0735 ) (※PortSmashは1.1.0-1.1.0h/1.0.2-1.0.2pで影響するため、1.1.1系では問題ありません。)
- 1.1.0j : ( CVE-2018-0734, CVE-2018-0735 ) (※PortSmashは1.1.0-1.1.0h/1.0.2-1.0.2pで影響するため、1.1.0i以降を用いていれば問題ありません。)
- 1.0.2q : (CVE-2018-5407 (PortSmash) , CVE-2018-0734 )
Priority
Low
修正方法
各ディストリビューションの情報を確認してください。
対処方法
ソースからコンパイルしている方は最新のバージョンを用いてください。ディストリビューション製のものを用いている方は、各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。
[参考]
https://www.openssl.org/news/openssl-1.1.1-notes.html
セキュリティ系連載案内
- OSSセキュリティ技術の会による日経Linuxでの連載「IoT時代の最新SELinux入門」がITPro上で読めるようになりました。技術の会代表で第一人者である中村さん等による、最新のSELinuxの情報やコマンド類等も更新されているのでお薦めです。
- OSSセキュリティ技術の会によるThinkITでの連載「開発者のためのセキュリティ実践講座」がThinkIT上で開始しました。技術の会の中の人間で、最新の代表的なOSSセキュリティ技術を紹介していきます。
- OSSセキュリティ技術の会により、ThinkITでLinuxSecuritySummit 2017のレポートが紹介されています。
- OSSセキュリティ技術の会の面により、@ITで「OSS脆弱性ウォッチ」が連載されています。
- OSSセキュリティ技術の会の面により、@ITで「OpenSCAPで脆弱性対策はどう変わる？」が連載されています。
