独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は1月26日、OpenSSLにおけるNULLポインタ参照の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。


OpenSSL 3.2
OpenSSL 3.1
OpenSSL 3.0
OpenSSL 1.1.1
OpenSSL 1.0.2

　OpenSSLにはPKCS#12形式のファイルを処理する際、特定のフィールドがNULLである場合にNULLポインタ参照が発生する脆弱性が存在し、NULLポインタ参照が発生することでアプリケーションがサービス運用妨害（DoS）状態となる可能性がある。本脆弱性の影響を受けるAPIは以下の通り。

KCS12_parse()
PKCS12_unpack_p7data()
PKCS12_unpack_p7encdata()
PKCS12_unpack_authsafes()
PKCS12_newpass()

　OpenSSL Project では2024年1月26日現在、修正版を提供していないが、下記バージョンで修正予定。

OpenSSL 3.2.1（3.2系ユーザ向け）
OpenSSL 3.1.5（3.1系ユーザ向け）
OpenSSL 3.0.13（3.0系ユーザ向け）
OpenSSL 1.1.1x（1.1.1プレミアムサポートカスタマ向け）
OpenSSL 1.0.2zj（1.0.2プレミアムサポートカスタマ向け）

元の記事を読む

編集部おすすめ