OpenSSLにおける境界外書き込みの脆弱性

概要

OpenSSL Projectより、OpenSSL Security Advisory [16th October 2024]が公開され、信頼できない値を用いた場合に低レベルのGF(2^m)楕円曲線APIにおいてメモリの境界外読み取りまたは書き込みが発生する脆弱性が報告されました。

影響を受ける製品

• OpenSSL 3.3.3 より前の 3.3.0系バージョン
• OpenSSL 3.2.4 より前の 3.2.0系バージョン
• OpenSSL 3.1.8 より前の 3.1.0系バージョン
• OpenSSL 3.0.16 より前の 3.0.0系バージョン
• OpenSSL 1.1.1zb より前の 1.1.1系バージョン
• OpenSSL 1.0.2zl より前の 1.0.2系バージョン

OpenSSL 3.3、3.2、3.1、3.0向けのFIPSモジュールは本脆弱性の影響を受けません。

想定される影響・悪用状況

アプリケーションのクラッシュあるいはリモートコード実行が行われる可能性があります。ただし、本脆弱性が悪用可能となるようなアプリケーションが稼働している可能性は低いとされています。

深刻度

深刻度は低（Severity: Low）です。

対策

アップデートパッチ適用：ソフトウェアやファームウエアに発見された脆弱性や不具合を修正するための更新プログラムを適用し、システムを安全な状態に保つこと。詳しく見る →する
影響を受けるバージョンに対しては、以下の修正バージョンがリリースされています。

• OpenSSL 3.3.3（3.3系ユーザ向け）
• OpenSSL 3.2.4（3.2系ユーザ向け）
• OpenSSL 3.1.8（3.1系ユーザ向け）
• OpenSSL 3.0.16（3.0系ユーザ向け）

プレミアムサポートカスタマ向けには以下の版でも修正が提供される予定です。

• OpenSSL 1.1.1zb（1.1.1プレミアムサポートカスタマ向け）
• OpenSSL 1.0.2zl（1.0.2プレミアムサポートカスタマ向け）