重大 として分類されている脆弱性が OpenSSL まで1.0.2zc/1.1.1m/3.0.1 内に見つかりました。 影響を受けるのは、コンポーネント【Non-prime Moduli Handler】の関数【BN_mod_sqrt】です。 未知の値で改ざんすることが、 サービス拒否を突く攻撃に繋がります。 この脆弱性に対応するCWEの定義は CWE-835 です。 この脆弱性は 2022年03月15日ににて 紹介されました。 アドバイザリーは openssl.org にてダウンロード用に公開されています。

この脆弱性は CVE-2022-0778 として扱われます。 CVEの割り当ては 2022年02月28日 に行われました。 攻撃はリモートで開始される可能性があります。 技術的詳細情報が入手可能です。 入手できるエクスプロイトツールはありません。 エクスプロイトツールの現在の価格はおそらく米ドルで約$0-$5kです。 MITRE ATT&CKプロジェクトは、攻撃手法を T1499 と定義しています。

このエクスプロイトツールは 未定義 として宣言されています。 0dayにはおよそ $5k-$25k の価値があったと予想しています。 】のプラグインを提供しています。

バージョン 1.0.2zd, 1.1.1n , 3.0.2 をアップグレードすることで、この問題に対処できます。 パッチ名は 3118eb64934499d93db3230748a452351d1d9a65 です。 バグフィックスは、git.openssl.org からダウンロードすることが可能です。 影響を受けているコンポーネントのアップグレードを推奨します。 考えられる回避策が、前として脆弱性の公開後公表されました 。

製品情報

タイプ

• Network Encryption Software

名前

• OpenSSL

バージョン

• 1.0.2za
• 1.0.2zb
• 1.0.2zc
• 1.1.1
• 1.1.1a
• 1.1.1b
• 1.1.1c
• 1.1.1d
• 1.1.1e
• 1.1.1f
• 1.1.1g
• 1.1.1h
• 1.1.1i
• 1.1.1j
• 1.1.1k
• 1.1.1l
• 1.1.1m
• 3.0.0
• 3.0.1

ライセンス

• open-source

CPE 2.3情報

• 🔍
• 🔍
• 🔍

CPE 2.2情報

• 🔍
• 🔍
• 🔍

CVSSv4情報

CVSSv3情報

CVSSv2情報

悪用する情報

脅威インテリジェンス情報

対策情報

タイムライン情報

ソース情報

エントリ情報

討論