OpenSSLの脆弱性情報(High: CVE-2020-1967)

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

04/21/2020にOpenSSLの脆弱性情報(High: CVE-2020-1967)が公開されています。今回はこの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。




Priority

CVE番号影響するバージョンPriorityCVSS Score / CVSS Vector
CVE-2020-19671.1.1d-1.1.1f

Vendor: High

Red Hat: 7.5 Important

Red Hat: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-1967
    • 悪意のあるPeerによるDoS(アプリケーションクラッシュ)の可能性
    • 重要度 – High
    • 対象 – OpenSSL 1.1.1d-1.1.1f
    • TLS拡張の”signature_algorithms_cert“の誤った取扱によりNULLポインタ被参照が発生するため、SSL_check_chain()関数をTLS 1.3ハンドシェイク後に行うアプリケーションがクラッシュする可能性があります。クラッシュはPeerから不正/或いは認識できないシグネチャアルゴリズムを受け取った際に発生します。これにより悪意のあるPeerによるDoS攻撃が可能になります。
    • この問題はOpenSSL 1.0.2には影響しませんが、1.0.2のバージョンは開発元では既にサポート外であるためご注意下さい。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください


対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteKatello、Spacewalk等を使うと管理が便利でしょう。

また、サービスの再起動が発生する場合には、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。


セキュリティ系連載案内


タイトルとURLをコピーしました