カナダの歳入庁や英国の育児情報サイト「マムズネット」は現地時間2014年4月14日、「OpenSSL」の脆弱性を突いた攻撃による被害に遭ったことを相次いで公表した。悪用された脆弱性は、2014年4月7日に公表されたもの。この脆弱性については、セキュリティ組織などが注意を呼びかけている（関連記事）。対岸の火事ではない。OpenSSLを利用しているサーバーの管理者は確認および対応が急務だ。 OpenSSLとは、SSLやTLSを利用するためのライブラリ。SSL/TLSを利用するWebサーバーなどで広く利用されている。このOpenSSLに深刻な脆弱性が見つかった。OpenSSLを利用しているサーバーに対して、細工を施したデータを送信されるだけで、サーバーのメモリー上にある情報を盗み出される恐れがある。具体的には、そのサーバーを利用する別のユーザーがやり取りしているデータやパスワード、そのサーバーが

各位 JPCERT-AT-2014-0013 JPCERT/CC 2014-04-08(新規) 2014-04-11(更新) <<< JPCERT/CC Alert 2014-04-08 >>> OpenSSL の脆弱性に関する注意喚起 https://www.jpcert.or.jp/at/2014/at140013.html I. 概要 OpenSSL Project が提供する OpenSSL の heartbeat 拡張には情報漏えいの 脆弱性があります。結果として、遠隔の第三者は、細工したパケットを送付す ることでシステムのメモリ内の情報を閲覧し、秘密鍵などの重要な情報を取得 する可能性があります。 管理するシステムにおいて該当するバージョンの OpenSSL を使用している場合 は、OpenSSL Project が提供する修正済みバージョンへアップデートすること をお勧めしま

2014年04月07日、 OpenSSL 情報漏えいを許してしまう脆弱性(CVE-2014-0160) ～Heartbleed 問題～ について報告されました。 インシデント情報活用フレームワーク検討 WGでは、インシデント対応技術調査 WG、日本シーサート協議会に加盟しているチームに協力を得て、インシデント発生を事前に予防する措置として、「OpenSSL 情報漏えいを許してしまう脆弱性 ～ Heartbleed 問題～」に関する公開情報を調査し、本レポートにまとめました。 ・OpenSSL 情報漏えいを許してしまう脆弱性 ～ Heartbleed 問題～ とは ・対策 ・ベンダ情報 ・観測日記 ・更新履歴 OpenSSL 情報漏えいを許してしまう脆弱性 ～ Heartbleed 問題～ は、 OpenSSL の TLS/DTLS 用 Heartbeat 拡張の実装に起因する情報漏えいを許

カナダ歳入庁や英MumsnetはOpenSSLの脆弱性が発覚した直後に対応に乗り出したが、既に納税者情報やパスワードなどの情報が流出していた。 オープンソースのSSL/TLS実装「OpenSSL」に極めて重大な脆弱性が発覚した問題で、カナダ歳入庁は4月14日、何者かがこの脆弱性を悪用して、納税者約900人の社会保障番号を同庁のシステムから削除していたことが分かったと発表した。 また、育児情報サイトの英Mumsnetもこの問題を悪用され、ユーザーのアカウントに不正アクセスされていたことが分かったと発表した。OpenSSLの脆弱性は極めて広範に影響が及んでいるが、実際の被害が伝えられたのは初めて。 カナダ歳入庁の場合、4月8日に問題が発覚した時点でオンラインサービスを停止し、OpenSSLの脆弱性を修正。全システムの安全性を点検した上で13日にサービスを再開したが、この過程で納税者情報に対する

ハートブリードのロゴ。ロゴと「心臓出血」の名称はこの問題に衆目を集めて、啓蒙するために作られた[1][2] ハートブリード（英語: Heartbleed）とは、2014年4月に発覚したオープンソース暗号ライブラリ「OpenSSL」のソフトウェア・バグのことである。当時、信頼された認証局から証明書が発行されているインターネット上のWebサーバの約17％（約50万台）で、この脆弱性が存在するHeartbeat拡張が有効になっており、サーバーの秘密鍵や利用者のセッション・クッキーやパスワードを盗み出すことが出来る可能性があった[3][4][5][6][7]。 経緯[編集] OpenSSLの脆弱性がCVSレポジトリに混入したのは2011年12月31日であり、原因はロビン・セゲルマンが提出し[8][9]、OpenSSLの開発チームがレビュー（審査）[10] した善意のパッチ（改善コード）である。脆弱

米Paloalto Networksは4月9日(現地時間)、OpenSSLにおいて「Heartbleed」と呼ばれる深刻な脆弱性が発見された問題について、同社のユーザー環境が保護されていることを発表した。 Heartbleedの問題は、OpenSSL 1.0.1～1.0.1fを実行しているサーバに影響があり、米NETCRAFTの発表では信頼できる認証局から発行された証明書を利用しているSSLWebサーバーの17%以上と推測されている。 この脆弱性(CVE-2014-0160:OpenSSL Private Key Disclosure Vulnerability)は、脆弱性のあるOpenSSLを利用しているエンタープライズ向けサーバーに深刻な影響を及ぼす。最悪の場合、SSL暗号化通信経由でエンドユーザーの通信内容が漏えいする可能性がある。 パロアルトネットワークスでは、この脆弱性に対処して

This copy is for your personal, non-commercial use only. Distribution and use of this material are governed by our Subscriber Agreement and by copyright law. For non-personal use or to order multiple copies, please contact Dow Jones Reprints at 1-800-843-0008 or visit www.djreprints.com. http://jp.wsj.com/article/SB10001424052702303433504579501080000871574.html

This copy is for your personal, non-commercial use only. Distribution and use of this material are governed by our Subscriber Agreement and by copyright law. For non-personal use or to order multiple copies, please contact Dow Jones Reprints at 1-800-843-0008 or visit www.djreprints.com. http://jp.wsj.com/article/SB10001424052702303433504579498863228091356.html

Connecting decision makers to a dynamic network of information, people and ideas, Bloomberg quickly and accurately delivers business and financial information, news and insight around the world.

「Heartbleed」脆弱性を狙う攻撃パケットの増加が国内でも観測された。あらためてWebサーバー側とエンドユーザー側、それぞれの対策を整理する。 オープンソースのSSL／TLS実装「OpenSSL」に、リモートからメモリ上のデータを読み取られてしまう可能性があるという「Heartbleed」脆弱性を狙う攻撃パケットの増加が観測された。一方でベンダーによる対策も進んでいる。 繰り返しになるが、この脆弱性はOpenSSLのバージョン1.0.1／1.0.2系に存在する。Heartbeat拡張の実装に問題があり、通信相手によって、プロセスのメモリ上のデータが読み出されてしまう恐れがある。つまり、タイミングによってはサーバー上の秘密鍵や、同じサービスを利用している他人のパスワード、セッション情報などが盗み見られる恐れがある（関連記事）。 特に影響が大きいのは、コンシューマーに対して何らかのサービ