OpenSSLの脆弱性情報(High: CVE-2022-3786, CVE-2022-3602)と新バージョン(3.0.7, 1.1.1s)

2022.11.02

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

11/02/2022 (JST) に予告どおりにOpenSSLの脆弱性情報(High: CVE-2022-3786, CVE-2022-3602)と新バージョン(3.0.7, 1.1.1s)が公開されています。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。

今回、予告ではリスクはCVE-2022-3786がCRITICALとなっていましたが、Highにダウングレードされました。こちらの理由も簡単に触れています。

ちなみに、今回の脆弱性の扱いについてはこちらのSANSのブログを見ておいたほうが良いでしょう。筆者の考えも、こちらのブログと同様になります。

Priority

CVE番号影響するバージョンPriorityCVSS Score / CVSS Vector
CVE-2022-3602OpenSSL 3.0.0 – 3.0.6Vendor: HighRed Hat:CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVE-2022-3786OpenSSL 3.0.0 – 3.0.6Vendor: HighRed Hat:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

脆弱性のリスクが変わった理由／その他FAQ

こちらのhttps://www.openssl.org/blog/blog/2022/11/01/email-address-overflows/に説明が書かれています。

予告がされていくつかの組織からこの問題のテストレポートが返ってきた結果、今回のオーバーフローの技術的な詳細と一般的なアーキテクチャ・プラットフォーム上でのスタックレイアウト状況がわかりました。

最初に、特定のLinuxディストリビューションではスタックのレイアウトが使用されていない隣接するバッファを4バイト上書きするものであったため、クラッシュしたりリモートコード実行を引き起こさなかったという報告がありました。

次に、最新のプラットフォームの多くはスタックオーバーフロー保護を実装しています。これにより、リモートコード実行のリスクが軽減され、通常はクラッシュが発生することになります。

OpenSSLのセキュリティポリシでは、リモートコード実行が一般的な状態で発生する際にリスクをCRITICALとしています。従って、CVE-2022-3602に関しては2022/11/01段階でリスクをCRITICALからHIGHにダウングレードしても良いと判断しました。

ただし、OpenSSLはソースコードとして配布されているため、全てのプラットフォームとコンパイラの組み合わせがどのようになっているかを知る方法がありません。一部のプラットフォーム上では、依然としてリモートコード実行が行われる可能性があります。

その他のFAQもありますので、是非こちらのブログを確認してみてください。

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-3602
    • バッファーオーバーランの脆弱性
    • 重要度 – High
    • 対象 – OpenSSL 3.0.0 – 3.0.6
    • X.509証明書確認処理で、特に名前制約をチェックしている際にバッファーオーバーランが発生する可能性があります。

      これが発生するのは証明書チェーンのシグネチャを確認した際に、CAが悪意のある証明書に対してサインした際か、アプリケーションにとっては証明書の確認をした際に信頼した発行者へのパスを組み立てるのに失敗した際です。

      攻撃者は細工されたemailアドレスを用いてスタック中の攻撃者が制御可能な4バイトをオーバーフローさせることが出来ます。これにより、クラッシュ（DoSの原因になります）か又はリモートコード実行が発生する可能性があります。

      多くのプラットフォームではスタックオーバーフロー保護を実装しているためリモートコード実行のリスクが緩和されています。リスクはまた、プラットフォームやコンパイラのスタックレイアウトによっても緩和されています。

      予告の時点ではこの脆弱性はCRITICALとされていました。上述のような緩和ファクターがあったため、リスクはHIGHにダウングレードされました。しかしユーザは依然として可能な限り早く更新を行う必要があります。

      TLSクライアントでは、この脆弱性の悪用は悪意のあるサーバによって引き起こされます。TLSサーバでは、この脆弱性の悪用はサーバが悪意のあるクライアントの認証に応答した際に発生します。

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-3786
    • バッファーオーバーランの脆弱性
    • 重要度 – High
    • 対象 – OpenSSL 3.0.0 – 3.0.6
    • X.509証明書確認処理で、特に名前成約をチェックしている際にバッファーオーバーランが発生する可能性があります。

      これが発生するのは証明書チェーンのシグネチャを確認した際に、CAが悪意のある証明書に対してサインした際か、アプリケーションにとっては証明書の確認をした際に信頼した発行者へのパスを組み立てるのに失敗した際です。

      攻撃者は細工されたemailアドレスを用いてスタック中の任意の”.(10進数で46)”を含む4バイトをオーバーフローさせることが出来ます。これにより、クラッシュ（DoSの原因になります）か又はリモートコード実行が発生する可能性があります。

      TLSクライアントでは、この脆弱性の悪用は悪意のあるサーバによって引き起こされます。TLSサーバでは、この脆弱性の悪用はサーバが悪意のあるクライアントの認証に応答した際に発生します。

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

また、サービスの再起動が発生する場合には、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。

日々のメモを更新しています。

セキュリティ関係ニュースを更新しています。個別で情報出せるようになる前の簡単な情報・リンクなんかも載せていきます。

セミナー情報

2022/11/01 16:30-18:00　にJAPANSecuritySummit Update Liveセションで「オープンソースの脆弱性とサプライチェーンのリスクを考える」を行います。

こちらが内容と参加申し込みの詳細になります。奮ってご参加下さい。

セミナー情報

今年も情報処理学会のCSS2022(有償)中でOWS2022を開催致します。

■開催期間 2022年10月24日(月) ～ 2022年10月27日(木)

■会場 熊本城ホールとオンライン(ZOOM)のハイブリッド開催

主催 一般社団法人 情報処理学会 コンピュータセキュリティ研究会（CSEC）

共催 一般社団法人 情報処理学会 セキュリティ心理学とトラスト研究会（SPT）

合同開催

OWS2022では、企画講演セッションの他に、招待講演として「タイトル：オープンソースソフトウェアをより安全にするための取組み」と題してLinux Foundationの方に講演いただきます。

他にもOSSのセキュリティに関する講演や論文発表が目白押しです。奮ってご参加ください。

参加費はこちら(OWSだけでなくCSS全てに参加することができます。

参加登録はこちら

タイトルとURLをコピーしました