更新情報：OpenSSLの深刻度「高」の脆弱性

著者

2022年11月3日

0 分で読めます

OpenSSLで、バッファオーバーランに関する深刻度「高」の脆弱性が2件公開されました。CVE-2022-3602とCVE-2022-3786です。OpenSSLは当初、CVE-2022-3602の深刻度を「クリティカル」と評価していましたが、さらなる調査の結果、「高」に引き下げました。

バッファオーバーランとは？

バッファオーバーラン（バッファオーバーフロー）は、プログラムがバッファや配列の末尾を越えて書き込み、隣接するメモリを破損させる特定の種類の実行時問題です。これが「オーバーフロー」と呼ばれる理由です。多くの問題とは異なり、バッファオーバーフローはプログラムを実行するたびに発生するわけではありません。予期しないユーザー入力など、特定の条件がそろうことで脆弱性が発現します。

深刻度「高」の脆弱性はいずれも、X.509証明書の検証時に行われる名前制約チェックによって悪用されます。

X.509メールアドレスの4バイトバッファオーバーフロー（CVE-2022-3602）
X.509メールアドレスの可変長バッファオーバーフロー（CVE-2022-3786）

TLSクライアントは不正なサーバーに接続されることで、この脆弱性を悪用される可能性があります。また、サーバーがクライアント認証を要求する際に悪意のあるクライアントが接続した場合、TLSサーバーでも悪用される可能性があります。

SSL/TLS向けのオープンソースツールキットとして、OpenSSL 3.0.7がリリースされました。信頼できないソースから取得したX.509証明書を検証するOpenSSL 3.0プログラムは、すべて安全ではなく、攻撃者に悪用される可能性があると見なす必要があります。

アップグレードが適用されるまで、クライアントとサーバーではTLSクライアント認証を無効にしてください。

影響を受けるバージョン

OpenSSLバージョン3.0.0～3.0.6は、この問題の影響を受けます。

影響を受けないバージョン

1.1.1
1.1.0
1.0.2
1.0.1
1.0.0
0.9.x
fips

影響

サービス拒否（DoS）
リモートコード実行

Snykができること

Snyk Open Source

脆弱性の詳細が公開されたため、Snyk Open Sourceのプロジェクトでは、次回の再テストで脆弱性が検出されます。毎日テストするように設定されているプロジェクトでは、24時間以内に再テストが行われます。もちろん、クライアントは重要なプロジェクトの再テストを手動で実行し、より早く結果を確認することもできます。

Snyk CLIの`snyk test`コマンドを使って、オープンソースコードをスキャンすることもできます。

Snyk Container

OpenSSLのCVEのようなアドバイザリが公開されると、各Linuxディストリビューションのメンテナーが内容をトリアージし、独自のアドバイザリを公開します。Snyk Containerの検出は、このディストリビューションのアドバイザリをもとに行われます。そのため、Linuxディストリビューションのメンテナーがアドバイザリを公開するまでの時間によっては、OpenSSLのアドバイザリが公開されてからSnyk Containerで最初の検出が行われるまでに遅れが生じる可能性があります。コンテナセキュリティを簡素化するこのプロセスについて、詳しくはこちらの投稿をご覧ください。

検出が行われると、Snyk Containerのテスト結果に表示されます。Snyk Open SourceとSnyk Containerのどちらも、既存のデータ遅延により、上記の条件が満たされてから最大9時間後にレポートで結果を確認できます。ベータ版のレポート機能で問題を確認する場合は、この遅延が短くなる可能性があります。

推奨事項

OpenSSL 3.0のユーザーは、OpenSSL 3.0.7にアップグレードしてください。
スタックオーバーフロー対策

Snyk VulnDBのUbuntuアドバイザリデータに関する更新

参考情報

キャプチャー・ザ・フラッグを始めよう

オンデマンドのバーチャル入門ワークショップを視聴して、キャプチャー・ザ・フラッグの課題の解き方を学びましょう。

今すぐ視聴