OpenSSLの関数SSL_select_next_protoにバッファオーバーリードの脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は7月3日、OpenSSLの関数SSL_select_next_protoにおけるバッファオーバーリードの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。

OpenSSL 3.3
OpenSSL 3.2
OpenSSL 3.1
OpenSSL 3.0
OpenSSL 1.1.1
OpenSSL 1.0.2
※ OpenSSL 3.3、3.2、3.1、3.0向けのFIPSモジュールは本脆弱性の影響を受けない

　OpenSSLの関数SSL_select_next_protoには、バッファオーバーリード（buffer over-read）の脆弱性（CVE-2024-5535）が存在し、
呼び出し側アプリケーションの予期しない動作やクラッシュが起こる可能性があり、状況によってはメモリ上の最大255バイトのデータが窃取される可能性がある。

　OpenSSL Project では​本脆弱性の深刻度を低と評価しており、OpenSSL gitリポジトリで修正を行っているが、本脆弱性への対応のみを目的とした修正バージョンを提供しておらず、次回のリリースで今回の修正を反映する予定。