OpenSSLの脆弱性情報(Low: CVE-2022-3996)

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

12/13/2022 (JST) に予告どおりにOpenSSLの脆弱性情報(Low: CVE-2022-3996)が公開されています。LowではありますがOpenSSLなので、今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。

[過去関連リンク(最新10件)]

• OpenSSLの脆弱性情報(High: CVE-2022-3786, CVE-2022-3602)と新バージョン(3.0.7, 1.1.1s)
• 【重要：3.0.6/1.1.1rはregressionが見つかったため撤回】OpenSSLの脆弱性情報(Low: CVE-2022-3358)と新バージョン(3.0.6, 1.1.1r)
• OpenSSLの脆弱性情報(High: CVE-2022-2274, Moderate: CVE-2022-2097)と新バージョン(3.0.5, 1.1.1q)
• OpenSSLの脆弱性情報(Moderate: CVE-2022-2068)と新バージョン(3.0.4, 1.1.1p, 1.0.2zf))
• OpenSSLの脆弱性情報(Moderate: CVE-2022-1292, CVE-2022-1343, Low: CVE-2022-1434, CVE-2022-1473 )と新バージョン(3.0.3, 1.1.1o, 1.0.2ze)
• OpenSSLの脆弱性情報(High: CVE-2022-0778)と新バージョン(3.0.2, 1.1.1n, 1.0.2zd)
• MIPS上のOpenSSLの脆弱性情報(Moderate: CVE-2021-4160)
• OpenSSLの脆弱性情報(Moderate: CVE-2021-4044)と新バージョン(OpenSSL 3.0.1)

一時情報源

• https://www.openssl.org/news/vulnerabilities.html
• https://www.openssl.org/news/secadv/20221103.txt

CVSS/プライオリティ

• CVE-2022-3996
  • 影響するバージョン
    • OpenSSL 3.0.0-3.0.7
  • Priority
    • Vendor: Low
  • CVSS Score / CVSS Vector
    • N/A

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-3996
  • X.509ポリシ制約の二重ロック
  • 重要度 – Low
  • 対象 – OpenSSL 3.0.0 – 3.0.7
  • X.509証明書が不正なポリシー制約を含んでおり、ポリシー処理が有効になっている場合、書き込みのロックが2回再帰的に取得されます。一部のOS(一例ではWindows)では、影響を受けるプロセスがハングし、サービス不能に陥る可能性があります。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

• Debian
  • https://security-tracker.debian.org/tracker/CVE-2022-3996
• Red Hat Enterprise Linux/CentOS
  • https://access.redhat.com/security/cve/CVE-2022-3996
• Ubuntu
  • https://ubuntu.com/security/CVE-2022-3996
• SUSE/openSUSE
  • https://www.suse.com/security/cve/CVE-2022-3996.html

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

[参考]

• https://www.openssl.org/news/vulnerabilities.html
• https://www.openssl.org/news/secadv/20221103.txt