OpenSSL 迄 1.0.2zc/1.1.1m/3.0.1 Non-prime Moduli BN_mod_sqrt サービス拒否

要約情報

現在、OpenSSL 迄 1.0.2zc/1.1.1m/3.0.1にて、重大と分類される脆弱性が確認されています。 該当するのは 関数BN_mod_sqrt コンポーネントNon-prime Moduli Handlerのです。 未知の値で改ざんすることが、 サービス拒否を突く攻撃に繋がります}。 この脆弱性はCVE-2022-0778として知られています。 攻撃を遠隔で開始することができます。 対象コンポーネントのアップグレードを推奨します。

詳細情報

現在、OpenSSL 迄 1.0.2zc/1.1.1m/3.0.1にて、重大と分類される脆弱性が確認されています。 該当するのは 関数BN_mod_sqrt コンポーネントNon-prime Moduli Handlerのです。 未知の値で改ざんすることが、 サービス拒否を突く攻撃に繋がります}。 この問題をCWEでは、CWE-835 と定義しました。 この脆弱性は 2022年03月15日ににて 紹介されました。 アドバイザリはopenssl.orgで提供されています。

この脆弱性はCVE-2022-0778として知られています。 CVEの割当は2022年02月28日で行われました。 攻撃を遠隔で開始することができます。 技術的な情報が提供されています。 この脆弱性の人気度は平均より低いです。 現時点では、エクスプロイトの価格は約USD $0-$5kと考えられます。 MITRE ATT&CKプロジェクトは攻撃技術をT1499としています。

このエクスプロイトツールは 未定義 として宣言されています。 0-dayの際、アンダーグラウンド市場での想定価格は$5k-$25k前後でした。 脆弱性診断ツールNessusは、ID 209854のプラグインを用意しています。

1.0.2zd, 1.1.1n , 3.0.2にアップグレードすることで、本問題を解消できます。 3118eb64934499d93db3230748a452351d1d9a65というパッチ名です。 修正プログラムはgit.openssl.orgでダウンロードできます。 対象コンポーネントのアップグレードを推奨します。

脆弱性は「Tenable (209854)」等の脆弱性データベースにも文書化されています。

製品情報

タイプ

• Network Encryption Software

名前

• OpenSSL

バージョン

• 1.0.2za
• 1.0.2zb
• 1.0.2zc
• 1.1.1
• 1.1.1a
• 1.1.1b
• 1.1.1c
• 1.1.1d
• 1.1.1e
• 1.1.1f
• 1.1.1g
• 1.1.1h
• 1.1.1i
• 1.1.1j
• 1.1.1k
• 1.1.1l
• 1.1.1m
• 3.0.0
• 3.0.1

ライセンス

• オープンソース

ウェブサイト

• 製品: https://www.openssl.org/

CPE 2.3情報

• 🔍
• 🔍
• 🔍

CPE 2.2情報

• 🔍
• 🔍
• 🔍

CVSSv4情報

CVSSv3情報

CVSSv2情報

悪用情報

脅威インテリジェンス情報

対策情報

タイムライン情報

ソース情報

エントリ情報

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

討論