JVNDB-2006-000593

OpenSSL の RSA 公開鍵処理によりシステムメモリを大量に消費する脆弱性

OpenSSL の X.509 証明書を検証する過程で、過度に大きな値の暗号化指数 (public exponent) と係数 (public modulus) で生成した RSA 公開鍵を処理した場合に、システムメモリを大量に消費する脆弱性が存在します。

ISC, Inc.

• BIND 9.2.6-P1 およびそれ以前
• BIND 9.3.2-P1 およびそれ以前

OpenSSL Project

• OpenSSL 0.9.7k およびそれ以前
• OpenSSL 0.9.8c およびそれ以前

アライドテレシス

• CentreCOM AR570S
• CentreCOM AR550S
• CentreCOM AR450S
• CentreCOM AR410V2
• CentreCOM AR740

オラクル

• Oracle E-Business Suite 11.5.10CU2
• Oracle HTTP Server 9.2.0.8

サン・マイクロシステムズ

• Sun Solaris 10 (sparc) 
• Sun Solaris 10 (x86) 
• Sun Solaris 9 (sparc) 
• Sun Solaris 9 (x86) 

ターボリナックス

• Turbolinux 10_f 
• Turbolinux Appliance Server 1.0 (hosting) 
• Turbolinux Appliance Server 1.0 (workgroup) 
• Turbolinux Appliance Server 2.0  
• Turbolinux Desktop 10 
• Turbolinux FUJI
• Turbolinux Multimedia
• Turbolinux Personal
• Turbolinux Server 10  
• Turbolinux Server 10 (x64) 
• Turbolinux Server 7  
• Turbolinux Server 8  
• ターボリナックス ホーム 

トレンドマイクロ

• TrendMicro InterScan Web Security Suite 1.1 Solaris版

ヒューレット・パッカード

• HP-UX 11.11 
• HP-UX 11.23 

ミラクル・リナックス

• Asianux Server 4.0 
• Asianux Server 4.0 (x86-64) 
• Asianux Server 2.0 
• Asianux Server 2.1 

リコー

• Ridoc Document Router V3
• Ridoc Document Router Pro V2
• Ridoc Document Router V4
• Ridoc Document Server V3
• Ridoc Document Server V3 Ad
• Ridoc Document Server EP V1
• Ridoc Document Server V1 タイプH
• Ridoc Document Server EP V2
• Ridoc Document Server V2 タイプH
• Ridoc Document System 画像ログオプション V1
• Ridoc IO OperationServer Pro
• Ridoc IO OperationServer 機器運用管理ユーティリティー
• Ridoc Print Linkage
• Ridoc Web Navigator V2
• Ridoc Web Navigator V3

レッドハット

• Red Hat Enterprise Linux 2.1 (as) 
• Red Hat Enterprise Linux 3 (as) 
• Red Hat Enterprise Linux 4 (as) 
• Red Hat Enterprise Linux 2.1 (es) 
• Red Hat Enterprise Linux 3 (es) 
• Red Hat Enterprise Linux 4 (es) 
• Red Hat Enterprise Linux 2.1 (ws) 
• Red Hat Enterprise Linux 3 (ws) 
• Red Hat Enterprise Linux 4 (ws) 
• Red Hat Enterprise Linux Desktop 3.0 
• Red Hat Enterprise Linux Desktop 4.0 
• Red Hat Linux Advanced Workstation 2.1 

古河電気工業

• FITELnet-Fシリーズ FITELnet-F80/F100/F120/F1000
• FITELnet-Fシリーズ FITELnet-F40
• FITELnet-Fシリーズ FITELnet-F3000
• MUCHOシリーズ MUCHO-EV/PK

システムのパフォーマンスが低下し、サービス運用妨害 (DoS) 状態となる可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

ISC, Inc.

• Internet Systems Consortium Security Advisory : BIND 9: OpenSSL Vulnerabilities (アーカイブ)

OpenSSL Project

• OpenSSL Security Advisory : secadv_20060928

アライドテレシス

• セキュリティ・脆弱性について : X.509証明書に関する脆弱性について

オラクル

• Critical Patch Updates and Security Alerts : Critical Patch Update - January 2007
• オラクル・セキュリティ・アラート : Critical Patch Update - January 2007

サン・マイクロシステムズ

• Sun Alert Notification : 102747
• Sun Alert Notification : 102759

ターボリナックス

• Turbolinux Security Advisory (英語) : TLSA-2006-33
• 製品セキュリティ情報 : TLSA-2006-33

トレンドマイクロ

• Trend Micro ReadMe Documentation : readme_iwss11_sol_patch7_b1182

ヒューレット・パッカード

• HP Security Bulletin : HPSBUX02174
• HP セキュリティ報告 : HPSBUX02174

ミラクル・リナックス

• MIRACLE LINUX アップデート情報 : openssl (V4.0)
• MIRACLE LINUX アップデート情報 : openssl096b (V4.0)
• MIRACLE LINUX アップデート情報 : openssl (V2.x)

リコー

• 製品情報 : NISCC-729618 (PDF ファイル)

レッドハット

• Red Hat Security Advisory : RHSA-2006:0695
• レッドハット セキュリティーアップデート : RHSA-2006:0695

古河電気工業

• FITELnet : RSA 公開鍵による脆弱性（Parasitic Public Key）について

1. リソース管理の問題(CWE-399) [NVD評価]

1. CVE-2006-2940

1. JVN : JVNTA06-333A
2. JVN : NISCC-729618
3. JVN : JVNTA07-017A
4. JVN Status Tracking Notes : TRTA06-333A
5. JVN Status Tracking Notes : TRTA07-017A
6. National Vulnerability Database (NVD) : CVE-2006-2940
7. US-CERT Cyber Security Alerts : SA06-333A
8. US-CERT Vulnerability Note : VU#423396
9. US-CERT Technical Cyber Security Alert : TA06-333A
10. US-CERT Technical Cyber Security Alert : TA07-017A
11. NISCC Vulnerability Advisory : 729618/NISCC/PARASITIC-KEYS
12. CPNI Vulnerability Advisory : 00661
13. Secunia Advisory : SA22130
14. SecurityFocus : 20247
15. FrSIRT Advisories : FrSIRT/ADV-2006-3820

• [2007年04月01日]
    掲載
  [2007年05月29日]
    影響を受けるシステムを更新しました。
    ベンダ情報: ミラクル・リナックスの情報を追加しました。
  [2007年12月03日]
    影響を受けるシステム：アライドテレシス (X.509証明書に関する脆弱性について) の情報追加。
    影響を受けるシステム：サン・マイクロシステムズ (102759) の情報追加。
    ベンダ情報：アライドテレシス (X.509証明書に関する脆弱性について) 追加。
    ベンダ情報：サン・マイクロシステムズ (102759) 追加。
  [2008年02月29日]
    影響を受けるシステム：リコー (NISCC-729618) の情報追加。
    ベンダ情報：リコー (NISCC-729618) の情報を追加しました。
  [2008年12月09日]
    影響を受けるシステム：トレンドマイクロ (readme_iwss11_sol_patch7_b1182) の情報を追加
    ベンダ情報：トレンドマイクロ (readme_iwss11_sol_patch7_b1182) を追加