OpenSSL に POLY1305 MAC 実装不備の問題 | ScanNetSecurity
2024.07.14(日)

OpenSSL に POLY1305 MAC 実装不備の問題

独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は1月10日、OpenSSLにおけるPOLY1305 MAC実装不備の問題について「Japan Vulnerability Notes(JVN)」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性

 独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は1月10日、OpenSSLにおけるPOLY1305 MAC実装不備の問題について「Japan Vulnerability Notes(JVN)」で発表した。影響を受けるシステムは以下の通り。

OpenSSL 3.0.0 から 3.0.12
OpenSSL 3.1.0 から 3.1.4
OpenSSL 3.2.0
※OpenSSL 1.1.1および1.0.2は本脆弱性の影響を受けない

 PowerISA 2.07命令をサポートするPowerPCプロセッサ用のOpenSSLのPOLY1305 MAC(メッセージ認証コード)実装には、ベクトルレジスタに保存された値の復元処理に問題があり、アプリケーション内部状態の破損を招くことがあり、最悪の場合、攻撃者によりアプリケーションが完全に制御される可能性がある。また想定される影響として、より可能性が高いのは、計算結果の誤りやサービス運用妨害(DoS)状態となることが挙げられる。

 OpenSSL Project では2024年1月10日現在、本脆弱性の修正を目的としたバージョンを提供しておらず、OpenSSL gitリポジトリで以下の修正commitが行われている。OpenSSL Projectでは、次回のリリースでこれらを反映するとのこと。

commit 5b139f95(3.2系)
commit f3fc5808(3.1系)
commit 050d263(3.0系)

《ScanNetSecurity》

関連記事

特集

PageTop

アクセスランキング

  1. 「ITパスポート試験」が1位に ~ 日本の資格検定アワード2023

    「ITパスポート試験」が1位に ~ 日本の資格検定アワード2023

  2. イセトーへのランサムウェア攻撃で豊田市の推定 42 万人分の個人情報が漏えい、被害発生時は契約に基づき対応

    イセトーへのランサムウェア攻撃で豊田市の推定 42 万人分の個人情報が漏えい、被害発生時は契約に基づき対応

  3. 裏目に出たサンドボックス/露北軍事同盟/MFAの穴 ほか [Scan PREMIUM Monthly Executive Summary 2024年6月度]

    裏目に出たサンドボックス/露北軍事同盟/MFAの穴 ほか [Scan PREMIUM Monthly Executive Summary 2024年6月度]

  4. NTTデータグループ ルーマニア拠点に不正アクセス、ランサムウェアによる攻撃の可能性含め解析を進める

    NTTデータグループ ルーマニア拠点に不正アクセス、ランサムウェアによる攻撃の可能性含め解析を進める

  5. 個人情報保護委員会、東京電力グループ 3 社に行政指導

    個人情報保護委員会、東京電力グループ 3 社に行政指導

  6. 「悪質な情報拡散を行う者には徹底的な法的措置」KADOKAWA グループへのランサムウェア攻撃

    「悪質な情報拡散を行う者には徹底的な法的措置」KADOKAWA グループへのランサムウェア攻撃

  7. 契約終了後もデータの削除を怠り保存が原因 ~ イセトーへのランサムウェア攻撃で和歌山市の個人情報も漏えい

    契約終了後もデータの削除を怠り保存が原因 ~ イセトーへのランサムウェア攻撃で和歌山市の個人情報も漏えい

  8. 「反社会的勢力への利益供与に応じず」ニデックインスツルメンツにランサムウェア攻撃

    「反社会的勢力への利益供与に応じず」ニデックインスツルメンツにランサムウェア攻撃

  9. 個人情報流出無し ~ 秋田県立医療療育センターウェブサイトが改ざん被害

    個人情報流出無し ~ 秋田県立医療療育センターウェブサイトが改ざん被害

  10. パルグループのサーバに不正アクセス、ポイント反映に影響

    パルグループのサーバに不正アクセス、ポイント反映に影響

ランキングをもっと見る