OpenSSLの脆弱性(Low: CVE-2024-5535)

06/27/2024 (JST) にOpenSSLの脆弱性(Low: CVE-2024-5535)が出ています。LowではありますがOpenSSLですので、一応こちらの脆弱性の概要を簡単にまとめてみます。

[過去関連リンク(最新5件)]

• OpenSSLの新バージョン(3.2.2, 3.3.1, 3.0.14, 3.1.6)リリース。Lowの修正あり
• OpenSSLの脆弱性情報(Low: CVE-2024-4741)
• OpenSSLの脆弱性情報(Low: CVE-2024-4603)
• OpenSSLの脆弱性情報(Low: CVE-2023-5678)
• OpenSSLの脆弱性情報(Moderate: CVE-2023-5363)と修正バージョン(OpenSSL 3.1.4 / 3.0.12)

CVSS/プライオリティ

• CVE-2024-5535
  • 影響するバージョン
    • OpenSSL 3.2, 3.1, 3.0, 1.1.1, 1.0.2
  • Priority
    • Vendor: Low
  • CVSS Score / CVSS Vector
    • N/A
• https://www.openssl.org/news/vulnerabilities.html

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-5535
  • OpenSSL API関数であるSSL_select_next_proto()で空のクライアントサポートプロトコルバッファを使用した場合、クラッシュしたりメモリコンテンツがPeerに送られたりします。
  • 重要度 – Low
  • 対象 – OpenSSL 3.2, 3.1, 3.0, 1.1.1, 1.0.2

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

• Debian
  • https://security-tracker.debian.org/tracker/CVE-2024-5535
• Red Hat Enterprise Linux/CentOS
  • https://access.redhat.com/security/cve/CVE-2024-5535
• Ubuntu
  • https://www.suse.com/security/cve/CVE-2024-5535.html
• SUSE/openSUSE
  • https://ubuntu.com/security/CVE-2024-5535

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。

[参考]

• https://www.openssl.org/news/vulnerabilities.html