OpenSSLに複数の重大な脆弱性、ただちに更新を - JPCERT/CC

JPCERTコーディネーションセンター(JPCERT/CC: Japan Computer Emergency Response Team Coordination Center)は2月8日、「JVNVU#91213144: OpenSSLに複数の脆弱性」において、OpenSSLに重大なセキュリティ脆弱性が複数存在すると伝えた。これら脆弱性が悪用されると、サービス運用妨害(DoS: Denial of Service)を受けたり、ユーザーがサーバへ送信したアプリケーションのデータを復号されたりする危険性がある。 JVNVU#91213144: OpenSSLに複数の脆弱性 脆弱性の詳細は、OpenSSLプロジェクトによる次のセキュリティアドバイザリにまとめられている。 OpenSSL Security Advisory [7th February 2023] 脆弱性が存在するとされるプロダ

[peatnnuts]

CentOS7以前がやばいな。アプデがもう無い

[kubecorn]

やたら祭りだ！って騒ぎ立てる人がSNSではたくさん出てくるのでしょうけど、まずは対象バージョンと自分のサービスの公開状況で攻撃され得る状態なのかをちゃんと確認しよう。

[IGA-OS]

条件は比較的限定的っぽい

[ot2sy39]

「applications which have implemented their own functionality for retrieving CRLs over a network」こういうアプリがどのくらいあるのかしら。残しておいていい脆弱性ではなくても、すぐの影響は少ないかも？

[canadie]

深刻度Highが1件、再現条件が限定されてるので、さすがにタイトルはちょっと盛ってるかな

[homarara]

なんでいつも週末に発表するの？

[dorapon2000]

“脆弱性が存在するとされるプロダクトおよびバージョンは次のとおり。 OpenSSL 3.0 OpenSSL 3.0.0 - 3.0.7 OpenSSL 1.1.1 OpenSSL 1.0.2”

[mozukuyummy]

会社の偉い人OpenSSLは危険なので当社のパソコンから全てアンインストールすること。取引先も同様にし、OpenSSL を使っていない旨を文書で送らせること。

[programmablekinoko]

むしろアイボールが十分あったのでゼロデー回避できたんじゃろ

[azumi_s]

気軽に言ってくれるなというかねぇ。

[ichiken7]

またかいな

[ryouchi]

CVSSスコアはまだ分析中なので出てないけど結構高そう https://nvd.nist.gov/vuln/detail/CVE-2023-0286

[Shinwiki]

え、1系もかよ

[tsz]

ヨシ！0.9系は大丈夫だな

[onesplat]

もうOpenSSL使うのやめましょうって

[houyhnhm]

*おおっと*