OpenSSL に不正な RSA 公開鍵のチェックに時間を要する問題 | ScanNetSecurity
2024.06.17(月)

OpenSSL に不正な RSA 公開鍵のチェックに時間を要する問題

独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は1月16日、OpenSSLにおける不正なRSA公開鍵のチェックに時間を要する問題について「Japan Vulnerability Notes(JVN)」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性

 独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は1月16日、OpenSSLにおける不正なRSA公開鍵のチェックに時間を要する問題について「Japan Vulnerability Notes(JVN)」で発表した。影響を受けるシステムは以下の通り。

OpenSSL 3.0.0 から 3.0.12
OpenSSL 3.1.0 から 3.1.4
OpenSSL 3.2.0
※OpenSSL 1.1.1および1.0.2には本脆弱性の影響はない

 OpenSSL には、RSAのmodulusであるnが大きすぎる素数の積で構成された、RSA公開鍵をEVP_PKEY_public_check()関数でチェックする際に、時間を要する問題があり、EVP_PKEY_public_check()関数を呼び出し信頼できないソースから取得したRSA キーをチェックするアプリケーションは、サービス運用妨害(DoS)状態となる可能性がある。EVP_PKEY_public_check()関数は、OpenSSL pkeyコマンドラインアプリケーションからのみ呼び出され、信頼できないデータに対して、「-pubin」および「-check」オプションを使用するアプリケーションも影響を受ける。

 OpenSSL Project では1月16日現在、本脆弱性の修正を目的としたバージョンを提供しておらず、OpenSSL gitリポジトリにて、下記の修正commitが行われている。なお、OpenSSL Projectでは、これらを次回のリリースで反映予定。

commit 0b0f7abf(3.2系)
commit a830f551(3.1系)
commit 18c02492(3.0系)

《ScanNetSecurity》

関連記事

特集

PageTop

アクセスランキング

  1. イセトーにランサムウェア攻撃、阿波銀行・藤沢市・茅ヶ崎市にも影響

    イセトーにランサムウェア攻撃、阿波銀行・藤沢市・茅ヶ崎市にも影響

  2. 役に立たないメール訓練 もうやめません? by Googleセキュリティ担当者

    役に立たないメール訓練 もうやめません? by Googleセキュリティ担当者

  3. 「ネクストレベル」に不正アクセス、496,119 件のワーカーの個人情報流出

    「ネクストレベル」に不正アクセス、496,119 件のワーカーの個人情報流出

  4. ニデックインスツルメンツにランサムウェア攻撃、複数のサーバ内ファイルが暗号化被害

    ニデックインスツルメンツにランサムウェア攻撃、複数のサーバ内ファイルが暗号化被害

  5. KADOKAWA グループ複数サイトで障害、サイバー攻撃の可能性

    KADOKAWA グループ複数サイトで障害、サイバー攻撃の可能性

  6. 約 30 名の学生がフィッシング被害に ~ 明治薬科大学教員の M365 アカウントに不正アクセス

    約 30 名の学生がフィッシング被害に ~ 明治薬科大学教員の M365 アカウントに不正アクセス

  7. 日経BP従業員メールアカウントに不正アクセス、33名の個人情報流出の可能性

    日経BP従業員メールアカウントに不正アクセス、33名の個人情報流出の可能性

  8. オイレス工業にランサムウェア攻撃、生産活動に影響なし 出荷通常通り

    オイレス工業にランサムウェア攻撃、生産活動に影響なし 出荷通常通り

  9. IPA、中小企業向けの内部不正防止対策の報告書公開

    IPA、中小企業向けの内部不正防止対策の報告書公開

  10. 九州電力グループのキューヘンにランサムウェア攻撃、社内情報の一部が暗号化被害

    九州電力グループのキューヘンにランサムウェア攻撃、社内情報の一部が暗号化被害

ランキングをもっと見る