【活用ガイド】

JVNDB-2022-002452

OpenSSL の NID_undef を使用したカスタム暗号における NULL 暗号化の脆弱性

概要

OpenSSL の NID_undef を使用してカスタム暗号を作成した場合、NULL 暗号化が発生する可能性があります。

OpenSSL Project より、OpenSSL Security Advisory [11 October 2022] が公開されました。
OpenSSLには、次の脆弱性が存在します。
深刻度 - 低 （Severity: Low）
カスタム暗号作成をサポートする EVP_CIPHER_meth_new() 関数および関連する関数にて、カスタム暗号を誤って処理することに起因し NULL 暗号化が発生する問題 （CVE-2022-3358） が存在します。
対象の関数は既に廃止予定となっているため、OpenSSL の開発者は、アプリケーション作成時にカスタム暗号実装のため新しいプロバイダメカニズムの利用を推奨しています。
CVSS による深刻度 (CVSS とは?)

影響を受けるシステム


OpenSSL Project
  • OpenSSL 3.0.0 から 3.0.5

    • NID_undef を使用して EVP_CIPHER_meth_new() 関数を呼び出し、その後、暗号化／復号化初期化関数の呼び出しを使用するアプリケーションだけが影響を受けます
    • SSL/TLS のみを使用するアプリケーションは、影響を受けません

OpenSSL 1.1.1 および 1.0.2 は、本脆弱性の影響を受けないとのことです。
想定される影響

NULL 暗号化が発生すると、暗号文として平文が出力されます。
対策

【2022/10/13 追記】
本件を 2022 年 10 月 12 日に公表した時点では、対策版としてOpenSSL 3.0.6がリリースされていましたが、これに重大な不具合が検出されたとして 10 月 13 日時点でリリースが取り下げられました。
開発者によると、不具合に対応する OpenSSL 3.0.7 を準備中のため、リリースまでは OpenSSL 3.0.5 の使用を推奨するとのことです。

【2022/11/2 追記】
11月1日に OpenSSL 3.0.6 にて検出された不具合を解消した OpenSSL 3.0.7 がリリースされました。
ベンダ情報

OpenSSL Project
CWEによる脆弱性タイプ一覧  CWEとは?

共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2022-3358
参考情報

  1. JVN : JVNVU#92530096
  2. National Vulnerability Database (NVD) : CVE-2022-3358
更新履歴

  • [2022年10月13日]
      掲載
  • [2022年11月04日]
      対策：内容を更新
      ベンダ情報：OpenSSL (OpenSSL 3.0 Series Release Notes) を追加

公表日2022/10/12
登録日2022/10/13
最終更新日2022/11/04