OpenSSLに脆弱性、悪用されるとDoS攻撃が行われる可能性
一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は12月9日、OpenSSLの脆弱性に関する注意喚起を発表した。影響を受けるシステムは以下の通り。
脆弱性と脅威
セキュリティホール・脆弱性
OpenSSL 1.1.1 および 1.0.2 のすべてのバージョン
12月08日(米国時間)に、OpenSSL ProjectからOpenSSLの脆弱性(CVE-2020-1971)に関するアップデート情報が公開され、OpenSSLにX.509 証明書のGENERAL_NAMEがEDIPartyNameを含む場合に、GENERAL_NAME_cmp関数内でNULLポインタ参照が発生する脆弱性があることが判明した。
想定される影響としては、本脆弱性を悪用されると、OpenSSLを実行しているサーバおよびクライアントアプリケーションにて、サービス運用妨害(DoS)攻撃が行われる可能性がある。
JPCERT/CCでは、OpenSSL Projectから公開された脆弱性を修正したバージョンのOpenSSLを、十分なテストを実施の上で適用することを推奨している。
《ScanNetSecurity》