OpenSSL は新しいバージョン 3.0.7 をリリースし、openSSL バージョン 3.0.0 から 3.0.6 までの 重大な脆弱性 を修正しました。登録ユーザーは、プライベートアカウントから 最新の openSSL バージョンをダウンロード できます。
この脆弱性は、TLS 証明書を検証するコードである X.509 証明書検証におけるバッファオーバーフローです。悪意のある TLS 証明書を介してリモートコード実行を許す形で悪用される可能性がありますが、その悪意のある TLS 証明書が信頼された認証局 (CA) によって署名されている必要があります。
証明書検証は通常クライアント側で行われるため、この脆弱性は主にサーバーではなくクライアントに影響します。クライアント証明書は通常、信頼された CA による署名を必須としないため、TLS クライアント認証経由でサーバーが悪用される可能性もあります。ただしクライアント認証は稀であり、ほとんどのサーバーで有効になっていないため、サーバーが悪用されるリスクは低いと考えられます。
攻撃者は、特別に細工された証明書を使用してこの脆弱性を発生させる悪意のある TLS サーバーへクライアントを誘導することで、この脆弱性を悪用する可能性があります。
影響を受けるバージョン
この脆弱性は OpenSSL バージョン 3.0.0 から 3.0.6 までのみが影響を受け、修正パッチはバージョン 3.0.7 で提供されます。OpenSSL 3.0.0 は 2021 年 9 月にリリースされたばかりであるため、以前のバージョンに比べて普及度ははるかに低くなっています。リリース日が非常に最近であることを考慮すると、OpenSSL バージョンがハードコードされた古い機器が脆弱である可能性は低いです。