JVNDB-2014-001795
|
OpenSSL のモンゴメリ・ラダーの実装における楕円曲線デジタル署名アルゴリズムのワンタイムトークンを取得される脆弱性
|
|
OpenSSL のモンゴメリ・ラダー (Montgomery ladder) の実装は、特定のスワップ操作が一定時間で動作することを確認しないため、楕円曲線デジタル署名アルゴリズム（ECDSA）のワンタイムトークンを取得される脆弱性が存在します。
|
|
CVSS v2 による深刻度
基本値: 1.9 (注意) [NVD値]
- 攻撃元区分: ローカル
- 攻撃条件の複雑さ: 中
- 攻撃前の認証要否: 不要
- 機密性への影響(C): 部分的
- 完全性への影響(I): なし
- 可用性への影響(A): なし
|
|
|
IBM
- IBM API Management 3.0 (IBM PureApplication System および XEN)
- IBM API Management 3.0 (VMWare)
- IBM InfoSphere Master Data Management Patient Hub 10.0
- IBM InfoSphere Master Data Management Provider Hub 10.0
- IBM InfoSphere Master Data Management Standard/Advanced Edition 11.0
- IBM InfoSphere Master Data Management Standard/Advanced Edition 11.3
- IBM Initiate Master Data Service 10.0
- IBM Initiate Master Data Service 10.1
- IBM Initiate Master Data Service 8.5
- IBM Initiate Master Data Service 9.0
- IBM Initiate Master Data Service 9.2
- IBM Initiate Master Data Service 9.5
- IBM Initiate Master Data Service 9.7
- IBM Initiate Master Data Service Patient Hub 9.5
- IBM Initiate Master Data Service Patient Hub 9.7
- IBM Initiate Master Data Service Provider Hub 9.5
- IBM Initiate Master Data Service Provider Hub 9.7
- IBM SDK, Java for Node.js v1.1.0.2
- IBM SmartCloud Orchestrator 2.3
- IBM SmartCloud Orchestrator 2.3 FP1
- IBM SmartCloud Provisioning 2.1 for IBM Provided Software Virtual Appliance
- IBM Tivoli Management Framework 4.1.1 (linux-ix86 および linux-s390)
- Tivoli Composite Application Manager for Transactions 7.1
- Tivoli Composite Application Manager for Transactions 7.2
- Tivoli Composite Application Manager for Transactions 7.3
- Tivoli Composite Application Manager for Transactions 7.4
- IBM Security Access Manager for Mobile アプライアンス 8.0
- IBM Security Access Manager for Web アプライアンス 7.0
- IBM Security Access Manager for Web アプライアンス 8.0
OpenSSL Project
アップル
- Apple Mac OS X 10.7.5
- Apple Mac OS X 10.8.5
- Apple Mac OS X 10.9 から 10.9.4
- Apple Mac OS X Server 10.7.5
オラクル
- Oracle VM VirtualBox 3.2.24 未満
- Oracle VM VirtualBox 4.0.26 未満
- Oracle VM VirtualBox 4.1.34 未満
- Oracle VM VirtualBox 4.2.26 未満
- Oracle VM VirtualBox 4.3.14 未満
|
本脆弱性の影響を受ける Cisco 製品の詳細については、ベンダ情報 cisco-sa-20140605-openssl をご確認ください。
|
|
第三者により、FLUSH+RELOAD キャッシュサイドチャネル攻撃を介して、楕円曲線デジタル署名アルゴリズム（ECDSA）のワンタイムトークンを取得される可能性があります。
|
|
ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
|
|
Gentoo Linux
Huawei
IBM
Novell
OpenSSL Project
アップル
オラクル
シスコシステムズ
マカフィー
|
|
- 暗号の問題(CWE-310) [NVD評価]
|
|
- CVE-2014-0076
|
|
- JVN : JVNVU#93868849
- National Vulnerability Database (NVD) : CVE-2014-0076
- 関連文書 : MGASA-2014-0165
|
|
- [2014年03月26日]
掲載
[2014年06月26日]
ベンダ情報：オラクル (CVE-2014-0076 Cryptographic Issues vulnerability in OpenSSL) を追加
[2014年06月27日]
影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
ベンダ情報：シスコシステムズ (cisco-sa-20140605-openssl) を追加
[2014年08月05日]
影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
ベンダ情報：Huawei (Huawei-SA-20140613-OpenSSL) を追加
ベンダ情報：IBM (00001841) を追加
ベンダ情報：IBM (00001843) を追加
ベンダ情報：IBM (1673137) を追加
ベンダ情報：IBM (1676035) を追加
ベンダ情報：IBM (1676062) を追加
ベンダ情報：IBM (1676419) を追加
ベンダ情報：IBM (1676424) を追加
ベンダ情報：IBM (1676655) を追加
ベンダ情報：IBM (1677695) を追加
ベンダ情報：IBM (1677828) を追加
ベンダ情報：IBM (1672507) を追加
ベンダ情報：Novell (7015264) を追加
ベンダ情報：Novell (7015300) を追加
ベンダ情報：マカフィー (SB10075) を追加
参考情報：関連文書 (MGASA-2014-0165) を追加
[2014年08月11日]
ベンダ情報：オラクル (Multiple vulnerabilities in OpenSSL) を追加
[2014年09月24日]
影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
ベンダ情報：アップル (HT6443) を追加
参考情報：JVN (JVNVU#93868849) を追加
[2015年01月30日]
影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
ベンダ情報：オラクル (Oracle Critical Patch Update Advisory - January 2015) を追加
ベンダ情報：オラクル (Text Form of Oracle Critical Patch Update - January 2015 Risk Matrices) を追加
ベンダ情報：オラクル (January 2015 Critical Patch Update Released) を追加
[2015年05月08日]
ベンダ情報：OpenSSL Project (SSL/TLS MITM vulnerability) を追加
[2015年06月26日]
ベンダ情報：IBM (1676092) を追加
|
