危険度「高」を含む2件の脆弱性が修正されたほか、TLSプロトコルに発覚した「Logjam」の脆弱性の回避策が実装された。});公開されたOpenSSL更新版OpenSSLプロジェクトチームは1月28日、予告通りにOpenSSLの更新版となるバージョン1.0.2fと1.0.1rを公開し、2件の脆弱性に対処したことを明らかにした。2件の脆弱性のうち、「DH(Diffie-Hellman)小サブグループ」の脆弱性は危険度「高」に分類されている。OpenSSLやCERT/CCのセキュリティ情報によると、OpenSSLでは従来は「安全な」素数に基づくDHパラメータのみが生成されていたが、バージョン1.0.2からはX9.42方式のパラメータファイル生成がサポートされた。このファイルに使われる素数は「安全」でなく、攻撃者に鍵を取得されてしまう恐れがある。この素数は、プロセスが続く間はデフォルトで再利用される設定になっており、場合によっては攻撃者にTLSサーバの非公開DH指数を割り出され、トラフィックの暗号を解除されたりする可能性もある。1件の脆弱性は「無効化されたSSLv2暗号がブロックされない」というもので、危険度「低」と位置付けている。TLSプロトコルに2015年に発見された中間者攻撃の脆弱性(通称「Logjam」)に関連して、暗号強度を強めることによってこの脆弱性を回避する対策も実装された。更新版は日本時間の1月28〜29日の間に公開され、2件の脆弱性を修正する。「FREAK」と同様、1990年代の米国の暗号輸出規制に起因する脆弱性が新たに発覚した。攻撃者が代替チェーン証明書を偽造できてしまう恐れがあり、通信の傍受やデータの改ざんなどの攻撃に利用される可能性がある。広告に関するお問い合わせメールマガジンSpecialインデックスRSSfacebooktwitter利用規約ITmediaはアイティメディア株式会社の登録商標です。