OpenSSLの関数SSL_select_next_protoにバッファオーバーリードの脆弱性 | ScanNetSecurity
2024.07.20(土)

OpenSSLの関数SSL_select_next_protoにバッファオーバーリードの脆弱性

独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は7月3日、OpenSSLの関数SSL_select_next_protoにおけるバッファオーバーリードの脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性

 独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は7月3日、OpenSSLの関数SSL_select_next_protoにおけるバッファオーバーリードの脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。影響を受けるシステムは以下の通り。

OpenSSL 3.3
OpenSSL 3.2
OpenSSL 3.1
OpenSSL 3.0
OpenSSL 1.1.1
OpenSSL 1.0.2
※ OpenSSL 3.3、3.2、3.1、3.0向けのFIPSモジュールは本脆弱性の影響を受けない

 OpenSSLの関数SSL_select_next_protoには、バッファオーバーリード(buffer over-read)の脆弱性(CVE-2024-5535)が存在し、
呼び出し側アプリケーションの予期しない動作やクラッシュが起こる可能性があり、状況によってはメモリ上の最大255バイトのデータが窃取される可能性がある。

 OpenSSL Project では​本脆弱性の深刻度を低と評価しており、OpenSSL gitリポジトリで修正を行っているが、本脆弱性への対応のみを目的とした修正バージョンを提供しておらず、次回のリリースで今回の修正を反映する予定。

《ScanNetSecurity》

関連記事

特集

PageTop

アクセスランキング

  1. イセトーへのランサムウェア攻撃で日本生命保険の個人情報が漏えい

    イセトーへのランサムウェア攻撃で日本生命保険の個人情報が漏えい

  2. 新日本製薬にランサムウェア攻撃、全ての業務は通常通り稼働

    新日本製薬にランサムウェア攻撃、全ての業務は通常通り稼働

  3. イセトーへのランサムウェア攻撃で東海信金ビジネスの個人情報が漏えい

    イセトーへのランサムウェア攻撃で東海信金ビジネスの個人情報が漏えい

  4. 2021年の「不正アクセスによる情報流出の可能性に関するお詫びとお知らせ」を2024年9月30日に削除 ~ 丸紅パワー&インフラシステムズ

    2021年の「不正アクセスによる情報流出の可能性に関するお詫びとお知らせ」を2024年9月30日に削除 ~ 丸紅パワー&インフラシステムズ

  5. マクニカネットワークスが忘れない CrowdStrike 三つのエピソード

    マクニカネットワークスが忘れない CrowdStrike 三つのエピソードPR

  6. 国際手配のランサム犯 逮捕されずに世界中を旅行

    国際手配のランサム犯 逮捕されずに世界中を旅行

  7. JAXA への不正アクセスによる情報漏えい、未知のマルウェア使用で侵害の検知を困難に

    JAXA への不正アクセスによる情報漏えい、未知のマルウェア使用で侵害の検知を困難に

  8. 日本生命保険の元社員を威力業務妨害の容疑で逮捕

    日本生命保険の元社員を威力業務妨害の容疑で逮捕

  9. マイクロソフトが 7 月のセキュリティ情報公開、悪用の事実を確認済みの脆弱性が 2 件

    マイクロソフトが 7 月のセキュリティ情報公開、悪用の事実を確認済みの脆弱性が 2 件

  10. 東京都教育委員会「Teams 事故再発防止委員会」設置

    東京都教育委員会「Teams 事故再発防止委員会」設置

ランキングをもっと見る