OpenSSLで史上2度目の「致命的」レベルの脆弱性が発見される、2022年11月1日夜間に修正版がリリースされるため即更新を

2022/11/01 356 users Critical 脆弱性 修正版 史上2度目 更新

OpenSSLに重大度「CRITICAL(致命的)」の脆弱(ぜいじゃく)性が発見されました。脆弱性への対応は迅速に行われており、日本時間の2022年11月1日22時～2022年11月2日4時の間に修正版の「OpenSSL 3.0.7」が公開予定です。OpenSSLに重大度「致命的」の脆弱性が発見されたのは、2014年に報告されて世界中を騒がせた「Heartblee... 続きを読む

Let's EncryptのDST Root X3ルート証明書の期限切れとOpenSSLの影響についていろいろ試してみた

2021/10/08 137 users アナウンス 移行計画 事前 影響範囲 製品

Let's Encryptでこれまで長く使用されてきたIdentrust社発行のDST Root X3ルート証明書が、日本時間2021年9月30日23時1分15秒に期限切れになりました。十分時間を取って事前に移行計画や影響範囲、救える環境、救えない環境などアナウンスをしてきましたが、やはり、期限切れ以降、様々なサービスや製品で接続できないと... 続きを読む

Let's EncryptのルートCA期限切れで OpenSSL 1.0.2が思わぬ事故を起こす件

2021/09/30 375 users Let's Encrypt 事故 寿命 物語

これは、Let's Encryptを支えるこの二人のルートCAと OpenSSLの物語である。 DST Root CA X3 (2000-2021) ISRG Root X1 (2015-2035) 〜2021年1月〜 ISRG Root X1「いままで一緒にやってきたDST Root CA X3さんの寿命が間近・・・このままだと僕を信頼してくれていないベテランの（具体的にいうと2016年くらいまでの）古... 続きを読む

SSL/TLSについてまとめ2018 - Qiita

2018/02/10 537 users Qiita TLS https プロトコル Apache

はじめに SSL/TLSについて改めて理解を深めたい思い、関連する技術についてまとめました。 本記事はTLSに関すること主題として、HTTPS、暗号化、Apache、OpenSSL等について記載しています。 SSL/TLSの通信は色々なプロトコルや暗号化方式が組み合わされ補いあってできています。暗号化の仕組みはパズルのようで面白いです。一つ一つを読み取り理解が深まるごとで、SSL/TLSって本当に... 続きを読む

SSLを基礎から学ぶには最適の入門書「食べる！SSL！- HTTPS環境構築から始めるSSL入門」 ｜ Developers.IO

2017/10/26 180 users Developers.IO SSL 基礎 入門書 例外

「良い本に出会った。感動した。」 by濱田 2014年4月のOpenSSLの脆弱性に起因するHeartbleed事件では、世界中のエンジニアが対応に追われました。この記事を読んでいる人で、あの日のことを懐かしく 苦しく 思い出す方、多いと思います。自分も例外ではないです。 それだけ広く使われていて、インターネット通信における基礎のSSLですが、皆さん、以下の点にすっきり答えられますか？ SSLとT... 続きを読む

OpenSSLの脆弱性(CVE-2017-3733)に見られる仕様とcastの落とし穴 - ぼちぼち日記

2017/02/20 127 users cast 変数 落とし穴 Mac ぼちぼち日記

2017 - 02 - 20 OpenSSLの脆弱性(CVE-2017-3733)に見られる仕様とcastの落とし穴 TLS 0. 短いまとめ OpenSSL-1.1.0dに 脆弱性 (CVE-2017-3733)が見つかり、Encrypt-Then- Mac と renegotiation を組み合わせて crashさせることができました。 この 脆弱性 は、仕様の準拠不足や不適切な変数の ca... 続きを読む

OpenSSLの脆弱性CVE-2016-800(DROWN)やCVE-2016-0702(CacheBleed)についてまとめてみた - piyolog

2016/03/01 328 users piyolog 愛称 OpenSSL Project 脆弱性

2016年3月1日(現地時間)、OpenSSL プロジェクトは脆弱性の愛称「DROWN」や「CacheBleed」を含む8件の脆弱性情報を公開し、これら影響を受けるものの修正を行った最新版をリリースしました。ここでは関連情報をまとめます。 脆弱性情報概要 OpenSSL Projectの公開情報 Forthcoming OpenSSL releases OpenSSL Security Advis... 続きを読む

Linuxで脆弱性が見つかった場合の対応方法 まとめ ｜ Developers.IO

2015/07/21 244 users Linux Developers.IO 脆弱性 まとめ 方法

はじめに 前日、Amazon Linuxで脆弱性が見つかった際に弊社のAWSチームのメンバーが以下の記事を公開していました。私は最近までクライアントサイドの開発案件を主に担当していたのであまり業務には関わりはないのですが、どのような手順でLinuxの脆弱性に対応しているのか興味があったので社内の人に聞いたり調べてみたことをまとめます。 [AmazonLinux] OpenSSLの脆弱性(CVE-2... 続きを読む

OpenSSLの脆弱性(CVE-2015-1793)によるAltチェーン証明書偽造の仕組み - ぼちぼち日記

2015/07/10 340 users advisory iojs ぼちぼち日記 長文 脆弱性

TL;DR やっぱり書いていたら長文になってしまいました。あまりちゃんと推敲する気力がないので、変な文章になっているかもしれません。ご了承いただける方のみお読みください。 1. はじめに昨晩未明にOpenSSL-1.0.2d, 1.0.1pがリリースされました。事前に予告されていた通り深刻度高の脆弱性CVE-2015-1793が修正されています。Advisoryを見ると、この脆弱性がiojs/No... 続きを読む

OpenSSLにまた重度の欠陥、修正アップデートは3月19日にリリース：CodeZine

2015/03/18 219 users CodeZine メーリングリスト 重度 欠陥 見込み

OpenSSLプロジェクトチームは、日本時間の3月17日未明に送信された同コミュニティのメーリングリストにおいて、OpenSSLの修正アップデート1.0.2a, 1.0.1m, 1.0.0r、0.9.8zfをリリースする予定だと発表した。 リリース日は、3月19日（日本時間では3月20日の見込み）。多くのセキュリティ上の欠陥を修正するという。今回修正される欠陥は最高レベルの深刻度であるというので、... 続きを読む

AWS環境のPOODLE脆弱性対応 (CVE-2014-3566) ｜ Developers.IO

2014/10/15 145 users CVE-2014-3566 Developers.IO

こんにちは、三井田です。 米国時間の10/14、SSLv3のPOODLE問題というセキュリティ脆弱性(CVE-2014-3566)について 詳細がアナウンスされました。 参考リンク； OpenSSL: https://www.openssl.org/~bodo/ssl-poodle.pdf Google: https://blog.cloudflare.com/sslv3-support-disa... 続きを読む

OpenSSLの脆弱性(CVE-2014-3511)でTLSプロトコルの基礎を学ぶ - ぼちぼち日記

2014/08/08 325 users TLS TLSプロトコル ぼちぼち日記 脆弱性 基礎

TLS, OpenSSL 1. はじめに、昨日 OpenSSLのバージョンアップがアナウンスされ、９つの脆弱性が公開されました。バージョンアップの数日前にOpenSSLの次期リリース予告がアナウンスされていましたが、ちょうど BlackHat 開催初日にあたることもあり、なんかまた重大な脆弱性の修正が入るんじゃないかとドキドキしていました。蓋を開けてみるとHeatBleed程の大事ではなくホットひ... 続きを読む

「Google Chrome」が「OpenSSL」の使用を中止--「BoringSSL」に切り替え - CNET Japan

2014/07/25 105 users BoringSSL セキュリティプロトコル 中止 脆弱性 話題

「Google Chrome」の（開発者向け）最新バージョンで、セキュリティプロトコルを実装するソフトウェア「OpenSSL」の使用が中止され、OpenSSLからフォークした独自の「BoringSSL」へと切り替えられた。切り替えに関する詳細な情報は、Chromium Code Reviewsで確認できる。 OpenSSLについては、いわゆる「Heartbleed」脆弱性が4月に発覚し、大きな話題... 続きを読む

GoogleがOpenSSLをフォークした「BoringSSL」を公開 | スラッシュドット・ジャパン セキュリティ

2014/06/22 178 users BoringSSL ABI Ars Technica API

GoogleがOpenSSLをフォークし、「BoringSSL」として公開した(ImperialVioletブログの記事、 Ars Technicaの記事、 本家/.)。 Googleは何年もの間、OpenSSLに数多くのパッチを当てて使用していたという。一部のパッチはOpenSSLのメインリポジトリに取り込まれたが、大半はAPIやABIの安定性の問題があるなどの理由で取り込まれていなかった。An... 続きを読む

GoogleがOpenSSLをフォークした「BoringSSL」を公開 | スラッシュドット・ジャパン セキュリティ

2014/06/22 132 users BoringSSL ABI Ars Technica API

GoogleがOpenSSLをフォークし、「BoringSSL」として公開した(ImperialVioletブログの記事、 Ars Technicaの記事、 本家/.)。 Googleは何年もの間、OpenSSLに数多くのパッチを当てて使用していたという。一部のパッチはOpenSSLのメインリポジトリに取り込まれたが、大半はAPIやABIの安定性の問題があるなどの理由で取り込まれていなかった。An... 続きを読む

OpenSSLにまた重大な脆弱性、直ちにパッチ適用を - ITmedia ニュース

2014/06/06 113 users トラフィック TLS実装ライブラリ 同日 サーバ クライアント

脆弱性を悪用された場合、クライアントとサーバ間のトラフィックの暗号を解除され、改ざんされる恐れがある。 オープンソースのSSL／TLS実装ライブラリ「OpenSSL」に新たな脆弱性が見つかり、6月5日（米国時間）に修正パッチがリリースされた。脆弱性はサーバとクライアントの両方が影響を受け、OpenSSLで保護していたはずの情報が漏えいする恐れがある、 OpenSSLは同日公開したセキュリティ情報で... 続きを読む

OpenSSLにまた重大な脆弱性、直ちにパッチ適用を - ITmedia エンタープライズ

2014/06/05 113 users トラフィック TLS実装ライブラリ 同日 サーバ クライアント

脆弱性を悪用された場合、クライアントとサーバ間のトラフィックの暗号を解除され、改ざんされる恐れがある。 オープンソースのSSL／TLS実装ライブラリ「OpenSSL」に新たな脆弱性が見つかり、6月5日（米国時間）に修正パッチがリリースされた。脆弱性はサーバとクライアントの両方が影響を受け、OpenSSLで保護していたはずの情報が漏えいする恐れがある、 OpenSSLは同日公開したセキュリティ情報で... 続きを読む

OpenSSLの脆弱性CCS Injection(CVE-2014-0224)の攻撃が行われる恐れがあるパターンをマトリックス化してみた。 - piyolog

2014/06/05 136 users piyolog CVE-2014-0224 欠陥 実装 菊池氏

脆弱性まとめ | 23:28 | lepidum社の菊池氏がOpenSSLの実装に脆弱性があることを発見しました。この脆弱性はChangeCipherSpecメッセージの処理に欠陥があるもので、悪用された場合に暗号通信の情報が漏えいする可能性があると同社公開情報では説明されています。 lepidum社 公開情報当社で発見し報告をしたOpenSSLの脆弱性（CVE-2014-0224 ）が公開されま... 続きを読む

CCS Injection脆弱性(CVE-2014-0224)発見の経緯についての紹介 - 株式会社レピダム

2014/06/05 297 users CVE-2014-0224 経緯 株式会社レピダム 発見 順序

菊池です。CCS Injection脆弱性(CVE-2014-0224)発見の経緯について紹介します。 バグの簡単な解説 OpenSSLがハンドシェーク中に不適切な状態でChangeCipherSpecを受理してしまうのが今回のバグです。 このバグはOpenSSLの最初のリリースから存在していました。 通常のハンドシェークでは、右の図のような順序でメッセージを交換します(RFC5246 The T... 続きを読む

OpenSSLにはこんなに問題が! LibreSSL開発者が発表 - BSDCan2014 | マイナビニュース

2014/05/18 165 users multi-platform LibreSSL 開発 発表

The OpenBSD project produces a FREE, multi-platform 4.4BSD-based UNIX-like operating system. OpenBSDプロジェクトの開発者でありLibreSSLの開発に携わっているBob Beck氏は5月17日(カナダ時間)、「BSDCan2014: LibreSSL」においてLibreSSLの開発がはじまってからの... 続きを読む

OAuthとOpenIDに深刻な脆弱性か--Facebookなど大手サイトに影響も - CNET Japan

2014/05/07 397 users Facebook OpenID OAuth LinkedIn

OpenSSLの脆弱性「Heartbleed」に続き、人気のオープンソースセキュリティソフトウェアでまた1つ大きな脆弱性が見つかった。今回、脆弱性が見つかったのはログインツールの「OAuth」と「OpenID」で、これらのツールは多数のウェブサイトと、Google、Facebook、Microsoft、LinkedInといったテクノロジ大手に使われている。 シンガポールにあるNanyang Tec... 続きを読む

Heardbleed禍のOpenSSLは「もはや修復不能」。OpenBSDがフォーク版開発へ : ギズモード・ジャパン

2014/04/24 141 users OpenBSD Heartbleed LibreSSL ヘマ

Webサービス , ニュース Heardbleed禍のOpenSSLは「もはや修復不能」。OpenBSDがフォーク版開発へ 2014.04.24 18:00 サイトがじわじわ来ますね…。 OpenSSLのヘマでHeartbleedなんてバグができてしまい、コードを虱潰しに当たっていたテオ・デ・ラート氏率いるOpenBSDプロジェクトが「こりゃ修復不能だ」と判断、フォーク版「LibreSSL」の開発... 続きを読む

覚えやすいけど強固なパスワード文字列を考えるコツ - tarのブログるっ by @tarVolcano

2014/04/20 336 users tar IPA CVE-2014-0160 セキュリティ コツ

2014-04-20 覚えやすいけど強固なパスワード文字列を考えるコツ インターネット iPhone パソコン Computer Security Photo by IntelFreePress ここ最近のOpen SSLのHeart Bleedバグなどで、セキュリティについて考えさせられることが多くなってきました。 更新：OpenSSL の脆弱性対策について(CVE-2014-0160)：IPA... 続きを読む

三菱UFJニコスがOpenSSLの脆弱性を突かれて不正アクセスを受けた件をまとめてみた - piyolog

2014/04/19 204 users piyolog 三菱UFJニコス インシデントまとめ 脆弱性

インシデントまとめ | 13:38 | 三菱UFJニコスのWebサイトが不正アクセスを受け、会員情報が不正に閲覧されたと発表しました。ここでは関連する情報をまとめます。 概要2014年4月11日に三菱UFJニコスが自社Webサイトで不正なアクセスを検知し、Webサイトを停止。その後詳細な調査結果として、4月18日に第3報を公開し、そこでOpenSSLの脆弱性(恐らくCVE-2014-0160)を悪... 続きを読む

OpenBSDがOpenSSLの大掃除に着手、「OpenOpenSSL」サイトも立ち上がる | スラッシュドット・ジャパン オープンソース

2014/04/17 206 users OpenBSD libssl tamo slashdot 罵倒

tamo 曰く、 OpenBSDがOpenSSLの大掃除に着手しています（slashdot）。 たとえばlibssl/src/sslを見ると、CVSに罵倒と修正がひっきりなしに記録されています。 Heatbleed対策のパッチだけで満足しなかった理由は、彼らから見てHeartbleedが単なるバグや仕様の問題ではなく、セキュリティ意識の問題から産まれたものだからです。 何年も前から 「OpenSS... 続きを読む