OpenSSLの脆弱性CVE-2016-800(DROWN)やCVE-2016-0702(CacheBleed)についてまとめてみた - piyolog

2016年3月1日(現地時間)、OpenSSL プロジェクトは脆弱性の愛称「DROWN」や「CacheBleed」を含む8件の脆弱性情報を公開し、これら影響を受けるものの修正を行った最新版をリリースしました。ここでは関連情報をまとめます。 脆弱性情報概要 注意喚起 OpenSSL の複数の脆弱性に関する注意喚起 - JPCERT/CC SSLv2 DROWN Attack - US-CERT OpenSSL Projectの公開情報 Forthcoming OpenSSL releases OpenSSL Security Advisory ［1st March 2016］ OpenSSL version 1.0.1s published OpenSSL version 1.0.2g published An OpenSSL User’s Guide to DROWN 2016年3月1日公

[kaputte]

今SSLv2有効にしてるようなとこは、そもそもこんな記事見てないだろう。

[anepan]

「脆弱性の愛称」なにわろとんねん感がある

[oooooo4150]

CacheBleed について発見者による情報のFAQより→"CacheBleed is a complex attack and there are much easier-to-exploit vulnerabilities in personal computers that it is unlikely that anyone would use CacheBleed in such an environment."

[daybeforeyesterday]

うーむ

[fake-jizo]

2016年3月1日(現地時間)、OpenSSL プロジェクトは脆弱性の愛称「DROWN」や「CacheBleed」を含む8件の脆弱性情報を公開し、これら影響を受けるものの修正を行った最新版をリリースしました。ここでは関連情報をまとめます。 Tags:

[homarara]

OpenSSLいい加減にしろや。脆弱性が見つかり過ぎて、印象がガリガリに痩せた自称警備員みたいになってきたぞ。

[gogatsu26]

ロゴまで出来てやがるｗ

[akulog]

一応念のため保守 #toki3_memo

[rryu]

またか。SSLv2が有効な事自体が脆弱だし、CacheBleedは可能なことを示したみたいな感じだからそんなに深刻ではないっぽい。

[amazedkoumei]

ロゴなし

[whoge]

1.0.0と0.9.8使ってるみなさ〜んw

[belgianbeer]

いつも助かります

[stealthinu]

これ夜に@tatsushi_dさんがつぶやいてたようにSSLv2の話だからSSLv2使わない設定になってたら関係ないと考えていい、のだよね？ちょっとそこだけ不安。

[infobloga]

ちなみに、Chrome, Firefoxはもちろん、IE11でさえSSLv2は無効になっていると聞くと、ちょっと深刻さが和らぐ / nginx 0.8以前は分かるけど、Apache 2.2.xが対象とはひどい。Apache使ってなくて良かった。

[lalala360]

POODLE対応の時にSSLv3と一緒にSSLv2も無効化してた

[rook5963]

毎度参考になります。助かってます。

[KoshianX]

とりあえずSSLv2使ってなければ安心なのかしら。

[sho]

どんな報道よりもpiyologが参考になる件

[wataken44]

@shioyadan これのcachebleedのほうなんか見た記憶がある

[longroof]

あっ(´・ω・｀)…

[uunfo]

DROWNはSSLv2を有効にしていなければ影響なし、CacheBleedは同じマシンでのコード実行が必要になるのでそれほど深刻ではない。

[tachi3927]

対策はOpenSSLを最新版に更新すること #ym

[masudaK]

おおいなー。でもまとまってて助かります。

[IGA-OS]

またOpenSSL関連の脆弱性か。CacheBleedと呼ぶのね。発生要因がだいぶ限定的なのか、大きな騒ぎでは無いのか。

[causeless]

"@tamosan 夜行性インコさん：OpenSSLの脆弱性CVE-2016-800(DROWN)やCVE-2016-0702(CacheBleed)についてまとめてみた - piyol…" via https://twitter.com/tamosan/status/704807671875043329

[sekt2o]

またきたか

[iekusup]

ほー。

[wasai]

またか

[junjun]

あとでよむ