OpenSSLに複数の脆弱性

平素より、弊社スカイアーチネットワークスのサービスをご利用頂きまして、誠に有難う御座います。

OpenSSLにて脆弱性情報が公開されました。
脆弱性情報と対応に関して下記の通り報告させて頂きます。

JVNVU#92673251　OpenSSLに複数の脆弱性
 https://jvn.jp/vu/JVNVU92673251/

概要

OpenSSLには、複数の脆弱性が存在します。

影響を受けるシステム

OpenSSL 3.0.0から3.0.6

OpenSSL 1.1.1および1.0.2は、本脆弱性の影響を受けません。
また、影響を受けるシステムについては、NCSC-NLが公開している情報も参照してください。

詳細情報

OpenSSL Projectより、OpenSSL Security Advisory [01 November 2022]が公開されました。
OpenSSLには、次の脆弱性が存在します。

深刻度 – 高（Severity: High）

電子メールアドレスの処理における4バイトのバッファオーバーフロー – CVE-2022-3602
X.509証明書の検証を行う際、証明書の名前のチェック時にバッファオーバーフローが発生する可能性があります。ただし、この問題は証明書チェーンの署名検証の後で発生します。そのため、悪意ある細工が行われた証明書に対してCAが署名し、本来ならば途中で失敗するはずの証明書チェーン検証が成功することにより、その後の処理が継続してしまう場合においてのみ、この問題が発生することに注意してください。攻撃者は、証明書中の電子メールアドレスに細工を施し、スタック上のメモリを4バイトオーバーフローさせることができます。
電子メールアドレスの処理における可変長バイトのバッファオーバーフロー – CVE-2022-3786
X.509証明書の検証を行う際、証明書の名前のチェック時にバッファオーバーフローが発生する可能性があります。CVE-2022-3602と同様に、この問題は証明書チェーンの署名検証の後で発生します。そのため、悪意ある細工が行われた証明書に対してCAが署名し、本来ならば途中で失敗するはずの証明書チェーン検証が成功することにより、その後の処理が継続してしまう場合においてのみ、この問題が発生することに注意してください。攻撃者は、証明書中の電子メールアドレスに細工を施し、スタック上の「.」文字（10進数では”46″）が格納された箇所を含む、任意のバイト数をオーバーフローさせることができます。