【活用ガイド】

JVNDB-2025-001531

OpenSSL における、RFC7250 ハンドシェイクによる認証の失敗を検知できない問題 (OpenSSL Security Advisory [11th February 2025])

概要

OpenSSL Project より、OpenSSL Security Advisory [11th February 2025]) ("RFC7250 handshakes with unauthenticated servers don't abort as expected (CVE-2024-12797)") が公開されました。

深刻度−高 (Severity：High)
当該バージョンの OpenSSL には、RFC7250 で定義された Raw Public Key (RPK) を用いてサーバ認証を行う際に、認証の失敗をクライアント側で検知できない脆弱性が存在します (CWE-392、CVE-2024-12797)。
RPK はサーバ、クライアントともにデフォルトで無効化されているため、双方において RPK が明示的に有効化され、かつ SSL_VERIFY_PEER モードの設定によりサーバ認証が強制されている場合にのみ、本脆弱性の影響を受けます。
ただし、クライアント側で SSL_get_verify_result() を呼び出して認証の失敗を検知する実装を行っている場合は、本脆弱性の影響を回避することが可能です。
CVSS による深刻度 (CVSS とは?)

影響を受けるシステム


OpenSSL Project
  • OpenSSL 3.4.1 より前の 3.4 系バージョン
  • OpenSSL 3.3.3 より前の 3.3 系バージョン
  • OpenSSL 3.2.4 より前の 3.2 系バージョン

ただし、バージョン 3.4、3.3、3.2 の FIPS モジュールは本脆弱性の影響を受けません。
想定される影響

サーバー認証の失敗がクライアント側で検知されないことにより、中間者攻撃を受ける可能性があります。
対策

[アップデートする]
開発者により、本脆弱性を修正した以下バージョンがリリースされています。

　* OpenSSL 3.4.1 (3.4 系ユーザー向け)
　* OpenSSL 3.3.3 (3.3 系ユーザー向け)
　* OpenSSL 3.2.4 (3.2 系ユーザー向け)
ベンダ情報

OpenSSL Project 日立
CWEによる脆弱性タイプ一覧  CWEとは?

  1. エラー状態のレポートの欠如(CWE-392) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2024-12797
参考情報

  1. JVN : JVNVU#91390536
更新履歴

  • [2025年02月14日]
      掲載
  • [2025年10月01日]
      ベンダ情報：日立 (hitachi-sec-2025-126) を追加

公表日2025/02/13
登録日2025/02/14
最終更新日2025/10/01