【活用ガイド】

JVNDB-2024-003936

OpenSSL の関数 SSL_select_next_proto におけるバッファオーバーリードの脆弱性（OpenSSL Security Advisory [27th June 2024]）

概要

OpenSSL Project より、OpenSSL Security Advisory [27th June 2024]（"SSL_select_next_proto buffer overread (CVE-2024-5535)"）が公開されました。

深刻度−低（Severity：Low）
OpenSSL の関数 SSL_select_next_proto には、バッファオーバーリード（buffer over-read）の脆弱性（CWE-126、CVE-2024-5535）が存在します。

SSL_select_next_proto 関数は、TLS 通信においてサーバ側とクライアント側が共通して対応しているプロトコルを選択する際に使われるヘルパー関数です。この関数は、サーバ側が対応するプロトコルリストとクライアント側が対応するプロトコルリストを受けとり、これら 2 つのリストに共通して含まれているエントリのうちサーバ側プロトコルリストに最初に出現するものを指すポインタを返します。また、2 つのリストの共通部分がない場合には、クライアント側プロトコルリストの先頭エントリを指すポインタを返します。

関数内部では 2 つのリストとも空ではないという前提で処理が行われているため、長さゼロのプロトコルリストを渡した場合、予期しない動作となる可能性があります。

CVE-2024-5535 では脆弱性種別を CWE-200: Exposure of Sensitive Information to an Unauthoried Actor としていますが、CWE-200 は "Vulnerability Mapping: DISCOURAGED" とされているため、本 JVN では開発者のアドバイザリのタイトル "buffer overread" に沿って CWE-126: Buffer Over-read を記載しています。
CVSS による深刻度 (CVSS とは?)

影響を受けるシステム


OpenSSL Project
  • OpenSSL 3.3
  • OpenSSL 3.2
  • OpenSSL 3.1
  • OpenSSL 3.0
  • OpenSSL 1.1.1
  • OpenSSL 1.0.2

開発者によると、OpenSSL 3.3、3.2、3.1 および 3.0 向けの FIPS モジュールは本脆弱性の影響を受けない、とのことです。
想定される影響

呼び出し側アプリケーションの予期しない動作やクラッシュが起こる可能性があります。状況によっては、メモリ上の最大 255 バイトのデータが窃取される可能性があります。
対策

[アップデートする]
2024 年 7 月 3 日現在、開発者は本脆弱性の深刻度を低と評価しており、OpenSSL git リポジトリにて修正は行われていますが、本脆弱性への対応のみを目的とした修正バージョンは提供されていません。次回のリリースで今回の修正を反映する予定とのことです。
ベンダ情報

OpenSSL Project 日立
CWEによる脆弱性タイプ一覧  CWEとは?

  1. バッファオーバーリード(CWE-126) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2024-5535
参考情報

  1. JVN : JVNVU#90911615
  2. JVN : JVNVU#96191615
  3. JVN : JVNVU#95962757
  4. JVN : JVNVU#90506697
  5. ICS-CERT ADVISORY : ICSA-24-319-08
  6. ICS-CERT ADVISORY : ICSA-25-044-09
  7. ICS-CERT ADVISORY : ICSA-25-100-02
更新履歴

  • [2024年07月04日]
      掲載
  • [2024年11月19日]
      参考情報：JVN (JVNVU#96191615) を追加
      参考情報：ICS-CERT ADVISORY (ICSA-24-319-08) を追加
  • [2024年12月18日]
      ベンダ情報：日立 (hitachi-sec-2024-150) を追加
  • [2025年01月30日]
      ベンダ情報：日立 (hitachi-sec-2025-107) を追加
  • [2025年02月17日]
      参考情報：JVN (JVNVU#95962757) を追加
      参考情報：ICS-CERT ADVISORY (ICSA-25-044-09) を追加
  • [2025年04月14日]
      参考情報：JVN (JVNVU#90506697) を追加
      参考情報：ICS-CERT ADVISORY (ICSA-25-100-02) を追加

公表日2024/07/03
登録日2024/07/04
最終更新日2025/04/14