JVNDB-2011-002257

OpenSSL の ephemeral ECDH ciphersuite におけるサービス運用妨害 (アプリケーションクラッシュ) の脆弱性

OpenSSL の ephemeral ECDH ciphersuite は、ハンドシェイクメッセージを処理している間、スレッドの安全性を確認しないため、サービス運用妨害 (アプリケーションクラッシュ) 状態となる脆弱性が存在します。

OpenSSL Project

• OpenSSL 0.9.8 through 0.9.8s
• OpenSSL 1.0.0e 未満の 1.0.x

アップル

• Apple Mac OS X 10.6.8
• Apple Mac OS X v10.7 から v10.7.5
• Apple Mac OS X v10.8 から v10.8.3
• Apple Mac OS X Server 10.6.8
• Apple Mac OS X Server v10.7 から v10.7.5

第三者により、TLS プロトコルに違反する out-of-order メッセージを介して、サービス運用妨害 (アプリケーションクラッシュ) 状態にされる可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

OpenSSL Project

• OpenSSL : 21337
• OpenSSL Security Advisory : secadv_20110906

アップル

• Apple Mailing Lists : APPLE-SA-2013-06-04-1
• Apple Security Updates : HT5784
• Apple セキュリティアップデート : HT5784

1. リソース管理の問題(CWE-399) [NVD評価]

1. CVE-2011-3210

1. JVN : JVNVU#92046435
2. National Vulnerability Database (NVD) : CVE-2011-3210

• [2011年09月28日]
    掲載
  [2013年06月07日]
    影響を受けるシステム：アップル (HT5784) の情報を追加
    ベンダ情報：アップル (HT5784) を追加
    ベンダ情報：アップル (APPLE-SA-2013-06-04-1) を追加