OpenSSL、DROWNなど8件の脆弱性を修正した最新版を公開
OpenSSLはDROWNなど複数の脆弱性を修正した最新版を公開した。 OpenSSL 1.0.1r とそれ以前の1.0.1 系列、OpenSSL 1.0.2fとそれ以前の1.0.2 系列に8件の脆弱性が存在する。今回修正された脆弱性は8件で、そのうち深刻度Highは2件となっている。1件目はDROWNの脆弱性で、サーバ側でSSLv2が利用可能な設定または同じ秘密キーを使用している状態において、クロスプロトコル攻撃によりTLSセッションの暗号が解除され重要な情報が盗取される恐れがある。今回のアップデートでSSLv2が初期状態で無効化された。
SSLv2での分割されたセッションキー複合の脆弱性も危険度はHighになっているが、こちらは既に前回のアップデートで対応されている。CacheBleedはIntelプロセッサ上のサイドチャネル攻撃により 同一CPU上の処理プロセスが復元され、RAS秘密キーが取得される恐れがある。ただし、同一CPU上という限定的な条件であるため、深刻度はLowとなっている。その他1件の深刻度Moderate、4件の深刻度Lowの脆弱性がバージョン1.0.2gと1.0.1sにより修正された。
