OpenSSL 0.9.8d, 0.9.7lリリース 16
ストーリー by Acanthopanax
暗号安全 部門より
暗号安全 部門より
iida曰く、"OpenSSLに4件の脆弱性が見つかり、OpenSSL 0.9.8d, 0.9.7lがリリースされた。うち2件 (CVE-2006-2937, CVE-2006-2940) は、ASN.1解析時のDoSであるため、それなりに影響が出るものと思われる。1件のバッファ・オーバーフロー脆弱性は、前回に続き、Googleのセキュリティー・チームが報告したとのことだ。そのほかSSLv2クライアントの脆弱性も改修されている。"
何があったんだろ？ (スコア:2, 興味深い)
ついこのあいだ0.9.8cが出たばかりで、今度は同時に4件のセキュリティアップデイト。
妙に多い更新に、
FIPS認定が取り下げられたから、再チャレンジに向けて張り切っているんだろうか。
とか、
かなり使い込まれてるから、こういった危険性は少ないのかと思ってたけど、OpenSSLってまだまだ危ない所が残っているという事だろうか。
とか、色々考えてしまいます。
Re:何があったんだろ？ (スコア:2, おもしろおかしい)
0.9.8cは実はpublicベータ版で、
本当はバージョン1にも満たないソフトウェアだったんだよ!
# 注)ネタですから
Re:何があったんだろ？ (スコア:2, 興味深い)
いやいや、ネタとは言い切れないかもしれませんよ。
OpenSSLの実装は、いわゆる「脆弱性」に強いようには見えませんが。「強いように見えない」理由は。
・C言語で書いてある
・char buf[256];のようにふつーに固定バッファリングが残ってる
ヨワヨワとまではいいませんし、「脆弱性」が絶対なくならないとはいいませんけど。
でも、ちょっと難しい気が。。。
そういう印象批評は良くないと思います (スコア:3, 参考になる)
あることが潜在的な脆弱性と言うなら、Linuxや*BSD
などの多くのUnix系OS、Apacheなどのサーバーデーモン
など、殆どのプログラムが脆弱性を孕んでいることに
なりませんか。そして、最早それはC言語で書いた
プログラムは脆弱だという非現実的な議論に
なりませんか？
C言語でプログラムを書く場合には、
スタック上にこういうバッファを取るのと
必要なメモリーをライブラリーに確保してもらうのとは
バッファーオーバーラン攻撃を受けるリスクと
メモリーリークを内包するリスクを天秤にかけて
判断することで、必ずしも後者が良いとは思いません。
後者は副作用を持つので、場合によっては嫌われる
スタイルになるのではないでしょうか。
さらに言うなれば、
この手の脆弱性はstack smashingを防ぐ仕組みが
あればかなり防げるので、w^xやexec-shieldのような
ものの実装が当たり前になれば今後はあまり大きな
問題にはならないように思います。
さりとて、DoS攻撃できるポイントに変わるだけですが。
Re:何があったんだろ？ (スコア:0)
とか言ってもマイナスモデ食らうのが今のスラドクオリティだろうな。
いや、邪魔したね。スコア5でも貰うといいと思うよ
Re:何があったんだろ？ (スコア:0)
ものすごく汚いセンス悪いコードになってるから、
穴探しも容易じゃないのかもね。
Re:何があったんだろ？ (スコア:0)
Re:何があったんだろ？ (スコア:0)
オープンソースなんだから、優秀な誰かが綺麗にしてくれればいいのに。
Stunnel同梱のOpenSSL (スコア:2, 参考になる)
おそらく、来月初旬には新しいのがリリースされると思いますので、それまでは待ちます。
Super Souya
OSはいいんだけど・・ (スコア:2, 興味深い)
実のところ、全部のマシンを調べるのが面倒になって途中から全部リコンパイルしてしましましたが・・
portupgradeでこれやると時々動かなくなるプログラムが出てくるので注意。
バージョン (スコア:0)
コレってかなり古いって事？
Re:バージョン (スコア:0, 参考になる)
ディストリビューションにはそれぞれの運用ルールがあって、一般には互換性が失われることを避けるためバージョンアップせずセキュリティホールだけを塞ぐという「(セキュリティパッチの)バックポート」という処理を行ないます。
ですからバージョンが古いからといってそのままセキュリティホールが残っていると判断するのは早計です。CVE番号やsecurityfocusなどのセキュリティ情報サイトの情報をもとに、該当する脆弱性が残っているのかどうかを確認すべきでしょう。
今回のセキュリティホールは CVE-2006-2937, CVE-2006-2940, CVE-2006-3738, CVE-2006-4343 のCVE番号が付与されていますので、それを追いかければ現状を判断することが出来ます。
ちなみにDebianでは現時点 (2006/09/30 15:15現在) で対応が終わっていないようです。
Re:バージョン (スコア:0)
stableは知りませんが、unstableにはきてますね。
Re:バージョン (スコア:2, 参考になる)
openssl (0.9.7e-3sarge3) stable-security; urgency=high
* Non-maintainer upload by the Security Team
* Apply patch to fix infinite loop / memory allocation denial of
service due to mis-handling of error conditions on invalid ASN1
data. CVE-2006-2937
* Apply patch to fix a buffer overflow in the SSL_get_shared_ciphers
function. CVE-2006-3738
* Apply patch to fix a denial of service in the SSLv2 client code
whereby a malicious server could cause a client to crash.
CVE-2006-4343
* Apply patch to correct a potential denial of service attack when
parsing ASN1 data from untrusted sources. Certain types of public
key can take a disproportionate amount of time to process, allowing
an attacker to exhaust system resources. CVE-2006-2940
-- Noah Meyerhans Tue, 26 Sep 2006 17:36:05 -0400
Re:バージョン (スコア:0)
Re:バージョン (スコア:0)