独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は5月6日、OpenSSLにおける複数の脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。影響を受けるシステムは以下の通り。

・CVE-2022-1292
OpenSSL 1.0.2zeより前のバージョン
OpenSSL 1.1.1oより前のバージョン
OpenSSL 3.0.3より前のバージョン

・CVE-2022-1343、CVE-2022-1434、CVE-2022-1473
OpenSSL 3.0.3より前のバージョン

 OpenSSLに存在する脆弱性と想定される影響は下記の通り。

・c_rehashスクリプトにおけるコマンドインジェクション(CVE-2022-1292)
一部のオペレーションシステムにて自動実行されるc_rehashスクリプトは、シェルのメタ文字を適切にサニタイズしない。
→攻撃者によって、c_rehashスクリプトの権限で任意のコマンドを実行される

・OCSP_basic_verifyにおける不適切な証明書検証(CVE-2022-1343)
OCSP_basic_verifyが、(初期設定とは異なる)フラグ「OCSP_NOCHECKS」が設定されている環境で、署名証明書検証に失敗した場合でも、検証成功の応答を返す。
→コマンドラインのOpenSSL「ocsp」アプリケーションで、ocsp応答の検証時に「-no_cert_checks」オプションが設定されている、またはOCSP_basic_verifyでフラグ「OCSP_NOCHECKS」を設定している場合に、検証が失敗した場合でも成功の応答となる