まとまっているのですが、英語だし長いしって人のために手短にまとめておきます。1.0.1〜1.0.1fを使っていなければセーフあてはまる場合には、一刻も早くバージョンアップして、サーバごと再起動(わかるひとはサービス単位でもOK、ただしreloadではだめなことも)SSL証明書でサーバを公開しているなら、秘密鍵から作り直して証明書を再発行し、過去の証明書を失効させる(末尾に関連リンクあり)。サーバを公開していない場合も、外部へのSSL通信があれば影響を受けるので、詳しく精査する。secrecy)を利用していない場合、過去の通信内容も復号される可能性があるため、詳しく精査する。漏洩する情報の具体例は、OpenSSLの脆弱性で想定されるリスクとして別の記事に書きましたのでそちらをご覧くださいまし。影響を受けるディストリビューション基本的には、パッケージ更新などでOpenSSLをバージョンアップして、そのあとOpenSSLを読んでいるサービスを再起動します。外部サーバへの接続なども含めるとOpenSSLを利用するサービスが多いので、よく分からない人はサーバごと再起動がおすすめ。1.0.1からの新機能による脆弱性なので、1.0.0とそれ未満であれば問題ありません。逆に、1.0.1eやそれ以前のバージョン番号のまま脆弱性のみ修正される場合もあるので、OpenSSLのバージョンだけでなく、パッケージのバージョンを確認してください。2014-004]各arch向けにビルド済みバイナリが配布されている。自前で入れたり、バージョンアップがすぐにできない場合は、「-DOPENSSL_NO_HEARTBEATS」を設定し、OpenSSLをコンパイルしてもよい。[CVE-2014-0160]個別のベンダー製品については、各社のURLが以下の記事に集約されているのでこちらを探してください。ついて]Windows版バイナリにOpenSSLが含まれるため、OpenVPN側のバージョンアップも必要。4.1(.0)と4.1.1は影響を受けるのでAndroid対応待ちTLS-Authを使っていなければ影響は無い。TLS-Authを使っていれば影響は無い。18:24)TLS-Authの記述が逆になっていました。TLSハンドシェークの前にHMACによるチェックを挟む機能で、有効にしていれば影響を受けません。こちらの記事に詳しく書かれています。TLS/SSLを使っている場合のみ影響オープンソースプロジェクトのWindows用バイナリは該当する可能性が高いです。何が起きているのOpenSSLに脆弱性があり、SSLで通信している相手のメモリを閲覧できます*1。具体的には、以下のようなシナリオが考えられます。HTTPSサーバのSSL証明書の秘密鍵が漏洩する。HTTPSサーバのプロセス内にあるユーザー情報が漏洩する。Apache+mod_php5のコンボでは、ウェブアプリ内の全ての情報が見られる可能性がある。攻撃者がサーバ側の場合、HTTPSで外部のAPIサーバ等に接続したアプリケーションが、メモリ内にあるユーザー情報等が漏洩する。そもそもハンドシェークフェーズなので証明書の検証は無関係でした。DNS毒入れ等の併用で攻撃者のSSLサーバに接続させられてしまえば無条件でやられます。攻撃された記録は一切残らない。安全側に倒すならば、脆弱性のあるバージョンをインターネットに公開していたら攻略されたとみなす方が良い。SSL証明書等の扱い脆弱性のあるバージョンを使っていた場合、最悪でSSL証明書の秘密鍵が奪取されている可能性があります。この場合、現在使っているSSL証明書を失効(revoke)させ、再発行する必要があります。証明書の失効方法については、SSL証明書を発行したCAに問い合わせてください。CA側で管理する証明書失効リストに掲載され、漏洩した秘密鍵によるSSL証明書が使えないようになります。Symantec(旧Verisign)であればストアフロントから失効申請ができるようです。直接の関係が無いものあくまでSSL通信(TLSプロトコル)上の脆弱性のため、OpenSSLライブラリを使っていても、OpenSSHやGnuPG(PGP)などには直接は関係しません。OpenSSHがLDAP等で外部へのSSL通信を行う場合、そこから攻撃される可能性が残ってはいます。読み取られるのは、SSL通信を行っているプロセスのメモリ内容のため、ロードバランサや前段のApache等でSSL処理を行っている場合は、別プロセスのアプリケーションサーバ内のメモリ内容は漏洩しません。前述の通り外部へのSSL通信を行っている場合は別です。curlコマンドを別プロセスで起動している場合*2や、OpenSSL以外のライブラリを使っている場合も無関係です。そのプロセスが読んでいない無関係なファイル等は、たとえそのプロセスの実行ユーザにパーミッションが開かれていても漏洩しません。プロセスのメモリ内容のみです。テストツール脆弱性の性質が性質なので自己責任で。ソースコード確認してから手元で動かしてもいいのよ。パケットと、完全に一致するパケットを多数観測しています。このことから、同攻撃コードを使用して、脆弱性が存在するサーバ等の探索が実施されているものと考えられます。申請した場合には翌営業日の発行となります。脆弱性対策について正常にインストールが出来ましたら、旧証明書の失効化をご依頼下さい。失効化の方法は方法が決まり次第、別途ご連絡申し上げます。GeoTrustは連絡対応とのこと*1:64KB単位で何度でも繰り返せる。要するにSR双葉杏が引けるまで何度でも引けるガチャ。*2:RHEL6/CentOS6系のcurlはOpenSSLのかわりにNSSを使っているため影響を受けないようです。再受賞(2019)Slack情報収集のためのチートシートデザインテーマ変えてみましたもっと見る月別アーカイブ検索はてなブログをはじめよう!nekoruriさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。