The OpenBSD project produces a FREE, multi-platform 4.4BSD-based UNIX-like operating system. OpenBSDプロジェクトは6月5日(オランダ時間)、「OpenSSL Releases Bugfixes, Advance Notice To Some Vendors But Not OpenBSD」においてOpenSSLプロジェクトが発表したOpenSSLのセキュリティ脆弱性に関するやり取りに関して苦言を呈した。 OpenSSLセキュリティ脆弱性の発表にあわせてセキュリティパッチの提供を開始したベンダやプロジェクトが存在するが、これは事前にOpenSSLプロジェクトとやり取りがあったためだと指摘。OpenBSDプロジェクトやLibreSSLプロジェクトはOpenSSLプロジェクトから連絡を受けていない
大阪オフィスの桶谷です。こんにちは。 今週から大阪オフィスにも1人メンバーが増えました。祝ぼっち脱出。 さて、先日のHeartbleedに続いて、またしてもOpenSSLの脆弱性が発見されました。今回はCCS Injectionです。 ということで対応方法をまとめてみました。 ※最終更新 2014/06/11 1:00 CCS Injection脆弱性(CVE-2014-0224)の概要・対策・発見経緯について 株式会社レピダム さんの脆弱性発見ニュース http://lepidum.co.jp/news/2014-06-05/news-CCS-Injection/株式会社レピダム さんの脆弱性の概要説明 http://ccsinjection.lepidum.co.jp/ja.htmlOpenssl.org https://www.openssl.org/news/secadv_2014
対象 サーバ側およびクライアント側で使用している「OpenSSL」のバージョンが以下の組み合わせの場合に、本脆弱性の影響を受けることが確認されています。 サーバ側: OpenSSL 1.0.1 系列のうち 1.0.1g およびそれ以前 クライアント側: OpenSSL 1.0.1 系列のうち 1.0.1g およびそれ以前 OpenSSL 1.0.0 系列のうち 1.0.0l およびそれ以前 OpenSSL 0.9.8 系列のうち 0.9.8y およびそれ以前 開発者が提供する情報をもとに最新版へアップデートしてください。 Q&A 通信経路上の攻撃者とは？ 本脆弱性を悪用するためには、クライアントとサーバの間に入って通信を中継する必要があります。このようなシナリオでの攻撃を一般に中間者攻撃といい、このときの攻撃者を本稿では通信経路上の攻撃者と呼んでいます。一般に、通信経路上の攻撃者となること
発見した菊池さん、おつかれさまです！ 深刻な脆弱性Heartbleedが発見されて間もないOpenSSLですが、また新たなセキュリティホールが見つかりました。ただ良いニュースは、すでに修正方法があるということです。でも悪いニュースは、この脆弱性は10年間存在し続けていて、どの程度悪用されていたかがわからないことです…。 Wiredによれば、OpenSSL財団がすでにこのバグについての注意勧告を出しています。バグを発見したのは日本のセキュリティ企業レピダムの菊池正史氏で、｢CCS Injection脆弱性｣とよばれています。 このバグを悪用すると、セキュアな接続を確立する｢ハンドシェイク｣の過程に攻撃者が入り込み、第三者が知りうる弱い暗号鍵を使わせるよう強制されてしまいます。これによって、暗号化されたデータでも攻撃者から解読可能になってしまいます。 幸い、レピダムがこのバグの詳細と対策を公開
US-CERTは6月5日(米国時間)、「OpenSSL Releases Security Advisory」においてOpenSSLのセキュリティ脆弱性について伝えた。2ヶ月前のOpenSSLのセキュリティ脆弱性(通称Heartbleed)と同様に危険性の高いセキュリティ脆弱性が修正されている。該当するOpenSSLのバージョンを使用している場合には説明されている対策方法などを適用し、早期に問題に対処することが推奨される。 セキュリティ脆弱性が存在するバージョンは次のとおり。 OpenSSL 0.9.8系 OpenSSL 1.0.0系 OpenSSL 1.0.1系 それぞれセキュリティ脆弱性が修正された次のバージョンへアップグレードすることが推奨されている。 OpenSSL 0.9.8za OpenSSL 1.0.0m OpenSSL 1.0.1h このセキュリティ脆弱性を利用されるとMa
脆弱性を悪用された場合、クライアントとサーバ間のトラフィックの暗号を解除され、改ざんされる恐れがある。 オープンソースのSSL／TLS実装ライブラリ「OpenSSL」に新たな脆弱性が見つかり、6月5日（米国時間）に修正パッチがリリースされた。脆弱性はサーバとクライアントの両方が影響を受け、OpenSSLで保護していたはずの情報が漏えいする恐れがある、 OpenSSLは同日公開したセキュリティ情報で、6件の脆弱性を修正したことを明らかにした。中でも「SSL/TLSの中間者攻撃の脆弱性」では、攻撃者にクライアントとサーバ間のトラフィックの暗号を解除され、改ざんされる恐れがある。 この脆弱性はクライアントではOpenSSLの全バージョンが影響を受ける。サーバではOpenSSL 1.0.1／1.0.2-beta1のみに影響が確認されているが、1.0.1より前のバージョンを使っている場合も念のために
lepidum社の菊池氏がOpenSSLの実装に脆弱性があることを発見しました。この脆弱性はChangeCipherSpecメッセージの処理に欠陥があるもので、悪用された場合に暗号通信の情報が漏えいする可能性があると同社公開情報では説明されています。 尚、6月6日にレピダム社がクライアントの偽装を行う攻撃が行われる恐れについて危険がないことが確認されたとして訂正を行いました。それに伴い以下の内容も修正を加えています。(修正前の記事は魚拓を参照してください。) lepidum社 公開情報 当社で発見し報告をしたOpenSSLの脆弱性（CVE-2014-0224 ）が公開されました。早急な更新が望まれる内容だと考えています。 #ccsinjection #OpenSSL 概要はこちらのページをご参照下さい。http://t.co/bhY7GpLZ2j— lepidum (@lepidum) 2
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
