JVNDB-2024-010757

OpenSSL における境界外書き込みの脆弱性 (OpenSSL Security Advisory [16th October 2024])

OpenSSL Projectより、OpenSSL Security Advisory [16th October 2024] ("Low-level invalid GF(2^m) parameters lead to OOB memory access (CVE-2024-9143)") が公開されました。

深刻度 - 低 (Severity：Low)
OpenSSL において、信頼できない値を用いて低レベルの GF(2^m) 楕円曲線 API を使用すると、メモリの境界外読み取りまたは書き込みが発生する問題 (CWE-787、CVE-2024-9143) が報告されています。
ただし、楕円曲線暗号を使用するプロトコルでは、いわゆる「名前付きの曲線」のみがサポートされるか、もしくは曲線パラメータを指定できる場合においても、本脆弱性を悪用できるような問題のある入力値を表現できないバイナリ曲線のエンコーディングが指定されています。そのため、本脆弱性が悪用可能となるようなアプリケーションが稼働している可能性は低いと指摘されていることに留意してください。

OpenSSL Project

• OpenSSL 3.3.3 より前の 3.3.0 系バージョン
• OpenSSL 3.2.4 より前の 3.2.0 系バージョン
• OpenSSL 3.1.8 より前の 3.1.0 系バージョン
• OpenSSL 3.0.16 より前の 3.0.0 系バージョン
• OpenSSL 1.1.1zb より前の 1.1.1 系バージョン
• OpenSSL 1.0.2zl より前の 1.0.2 系バージョン

OpenSSL 3.3、3.2、3.1、3.0 向けの FIPS モジュールは本脆弱性の影響を受けません。

アプリケーションのクラッシュあるいはリモートコード実行が行われる可能性があります。

[アップデートする]
2024 年 10 月 18 日現在、開発者は本脆弱性の深刻度を低と評価しており、OpenSSL の git リポジトリにて修正は行われていますが、本脆弱性への対応のみを目的とした修正バージョンは提供されていません。次回のリリースで今回の修正を反映する予定とのことです。

OpenSSL Project

• OpenSSL Project : OpenSSL Security Advisory [16th October 2024]
• OpenSSL Project : github.com: 3.3.3 git commit c0d3e4d3
• OpenSSL Project : github.com: 3.2.4 git commit bc7e04d7
• OpenSSL Project : github.com: 3.1.8 git commit fdf67233
• OpenSSL Project : github.com: 3.0.16 git commit 72ae83ad
• OpenSSL Project : github.openssl.org: 1.1.1zb git commit 8efc0cba（要ログイン）
• OpenSSL Project : github.openssl.org: 1.0.2zl git commit 99472514130（要ログイン）

1. 境界外書き込み(CWE-787) [その他]

1. CVE-2024-9143

1. JVN : JVNVU#90424473

• [2024年10月21日]
    掲載