OpenSSL 3.xの重大な脆弱性

2022.11.10 三和コムテック

2022年11月2日、情報処理数維新機構（IPA）よりOpenSSL Foundation,Incは OpenSSL 3.x 系の X.509 証明書の検証処理を通じてバッファオーバーフローが発生する脆弱性（CVE-2022-3786 および CVE-2022-3602）に対する注意喚起が公開されました。
1.1.1 および 1.0.2 のOpenSSLを使用されている場合には、影響を受けません。

本脆弱性は当初、緊急に対応すべき脆弱性（Critical）として発表されましたが、その後の調査により、優先して対応すべき脆弱性（High）に危険度が引き下げられています。
危険度が引き下げられた理由としては、最新のプラットフォームの多くはオーバーフローに対する保護機能が実装されている等、脆弱性が軽減される可能性が高い為ですが、一部の環境では依然として深刻な脆弱性として評価されています。

3.x 系は 2021年9月にリリースされたばかりのバージョンであり、影響を受けるアプリケーションは少ないとみられています。
該当バージョンをご使用の場合には、今後も被害が拡大する可能性がありますので、お早目のバージョンアップをお勧めいたします。

SCT SECURE クラウドスキャンでは、定期的な自動診断により、サーバーや導入されたソフトウェアのバージョンに該当する脆弱性状況を管理することが可能です。
危険度の高い脆弱性が検知された際にはアラートメールでお知らせします。
日々の脆弱性対策も、是非三和コムテックにご相談ください。

参照：OpenSSL の脆弱性対策について(CVE-2022-3602、CVE-2022-3786)