独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月13日、OpenSSLにおける、RFC7250ハンドシェイクによる認証の失敗を検知できない問題について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。
OpenSSL 3.4.1より前の3.4系バージョン
OpenSSL 3.3.3より前の3.3系バージョン
OpenSSL 3.2.4より前の3.2系バージョン
※バージョン3.4、3.3、3.2のFIPSモジュールは本脆弱性の影響を受けない
当該バージョンのOpenSSLには、RFC7250で定義されたRaw Public Key（RPK）を用いてサーバ認証を行う際に、認証の失敗をクライアント側で検知できない脆弱性（CVE-2024-12797）が存在し、サーバー認証の失敗がクライアント側で検知されないことで中間者攻撃を受ける可能性がある。
なお、RPKはサーバ、クライアントともにデフォルトで無効化されているため、双方でRPKが明示的に有効化され、かつSSL_VERIFY_PEERモードの設定でサーバ認証が強制されている場合にのみ、本脆弱性の影響を受ける。
OpenSSL Projectでは、本脆弱性を修正した下記バージョンをリリースしており、JVNではアップデートを呼びかけている
OpenSSL 3.4.1（3.4系ユーザー向け）
OpenSSL 3.3.3（3.3系ユーザー向け）
OpenSSL 3.2.4（3.2系ユーザー向け）
