GLSA 200912-01: OpenSSL Multiple Vulnerabilities Fix (CVE-2009-3555/MD2/DTLS)

脆弱性情報 公告番号: GLSA 200912-01 公開日: 2009年12月1日 最終更新: 2009年12月2日 影響を受けるパッケージ: dev-libs/openssl - 影響を受けるバージョン: = 0.9.8l-r2 深刻度: normal（普通） 悪用可能性: remote（リモート） 背景 OpenSSL は、セキュリティ・ソケット層（SSL v2/v3）およびトランスポート層セキュリティ（TLS v1）を実装するオープンソースのツールキットであり、一般的な暗号ライブラリとしても使用されています。 説明 OpenSSL で複数の脆弱性が報告されました： TLS プロトコルにおいて、セッション再交渉リクエストの処理が不適切であること（CVE-2009-3555）。 MD2 ハッシュアルゴリズムは暗号学的に十分強力ではなくなったため、このアルゴリズムを使用する証明書は受け付けられなくなる（CVE-2009-2409）。 DTLS における脆弱性：use-after-free エラー（CVE-2009-1379）、NULL ポインタ参照エラー（CVE-2009-1387）、src/d1_both.c における複数のメモリリーク（CVE-2009-1378）、および ssl/d1_pkt.c における大量の将来の DTLS レコードに関連する処理エラー（CVE-2009-1377）。 影響 認証されていないリモート攻撃者は、TLS セッションに対して任意のクリアテキストを注入でき、攻撃者が攻撃対象ユーザーに成りすましてリクエストを送信できる可能性があります。また、リモート攻撃者は、DTLS サポートを備えた OpenSSL サービスに対して特別に作製された DTLS パケットを送信し、サービス拒否（DoS）を誘発できる可能性があります。さらに、攻撃者は MD2 の衝突攻撃を支援として用いて、偽造された証明書を作成できる可能性があります。注意：このような攻撃を行うために必要な計算量は依然として非常に大きいです。 解決策 すべての OpenSSL ユーザーは最新版へのアップグレードを行ってください： 参考資料 CVE-2009-1377 CVE-2009-1378 CVE-2009-1379 CVE-2009-1387 CVE-2009-2409 CVE-2009-3555

目標達成 すべての支援者に感謝 — 100%達成しました！

GLSA 200912-01: OpenSSL Multiple Vulnerabilities Fix (CVE-2009-3555/MD2/DTLS)

目標達成すべての支援者に感謝 — 100%達成しました！