【重要：3.0.6/1.1.1rはregressionが見つかったため撤回】OpenSSLの脆弱性情報(Low: CVE-2022-3358)と新バージョン(3.0.6, 1.1.1r)

2022.10.12

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

10/12/2022 (JST) に予告どおりにOpenSSLの脆弱性情報(Low: CVE-2022-3358)と新バージョン(3.0.6, 1.1.1r)が公開されています。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。

【重要】OpenSSL 3.0.6/1.1.1rにregressionが見つかりました。そのため、3.0.6/1.1.1rは撤回され、3.0.5/1.1.1qを暫く使用することが推奨されます。regressionバグ修正の後に3.0.7/1.1.1sがリリースされる見込みです。

Priority

CVE番号影響するバージョンPriorityCVSS Score / CVSS Vector
CVE-2022-3358< OpenSSL 3.0.6

Vendor: Low

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-3358
    • カスタム暗号をNID_undefとともに使用している際に平文が暗号文として出力される可能性
    • 重要度 – Low
    • 対象 – OpenSSL 3.0.6
    • OpenSSL ではレガシーのEVP_CIPHER_meth_new()関数やそれに関連付けられた関数を用いてカスタム暗号を作り出す方法をサポートしています。この関数はOpenSSL 3.0でｈ非推奨となっています。

      OpenSSL 3.0.0から3.0.5まででは、レガシーのカスタム暗号をEVP_EncryptInit_ex2(), EVP_DecryptInit_ex2() , EVP_CipherInit_ex2()に渡す際に正しくない処理を行っていました。カスタム暗号を使うのに代わり提供されている同等の暗号を使用しようとしていました。同等の暗号はEVP_CIPHER_meth_new()関数にNIDを渡すことで見つかります。しかしながら、アプリケーションが不正なNID_undefをEVP_CIPHER_meth_new()に渡すことが可能です。NID_undefがこの方法で使用されると、OpenSSLの暗号化／復号化初期化関数はNULL cipherにマッチします。NULL cipherを使うということは平文が暗号化文として出力されるということです。

      EVP_CIPHER_meth_new()を呼び出してNID_undefを使用しているアプリケーションのみがこの問題に該当します。SSL/TLSを使用しているだけのアプリケーションは影響を受けません

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

また、サービスの再起動が発生する場合には、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。

日々のメモを更新しています。

セキュリティ関係ニュースを更新しています。個別で情報出せるようになる前の簡単な情報・リンクなんかも載せていきます。


セミナー情報

今年も情報処理学会のCSS2022(有償)中でOWS2022を開催致します。

■開催期間 2022年10月24日(月) ～ 2022年10月27日(木)

■会場 熊本城ホールとオンライン(ZOOM)のハイブリッド開催

主催 一般社団法人 情報処理学会 コンピュータセキュリティ研究会（CSEC）

共催 一般社団法人 情報処理学会 セキュリティ心理学とトラスト研究会（SPT）

合同開催

OWS2022では、企画講演セッションの他に、招待講演として「タイトル：オープンソースソフトウェアをより安全にするための取組み」と題してLinux Foundationの方に講演いただきます。

他にもOSSのセキュリティに関する講演や論文発表が目白押しです。奮ってご参加ください。

参加費はこちら(OWSだけでなくCSS全てに参加することができます。

参加登録はこちら

タイトルとURLをコピーしました