BLOGOSSに関するセキュリティ・ツールの使い方・脆弱性等を紹介しています。Intelligence等。)OSS脆弱性ブログこちらでは主にOSSの脆弱性を取り上げていきます。この脆弱性を利用してリサーチチームがOpenSSL(1.1.0h以下)のP-384秘密鍵をTLSサーバから盗み出すことが出来たということです。IntelのSAは出ていませんが、CVE-IDと情報、PoCが公開されてきましたので、今回はこの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。2018.11.04こんにちは。こちらでは主にOSSの脆弱性を取り上げていきます。CPUの脆弱性が公開されました。この脆弱性を利用してリサーチチームがOpenSSL(1.1.0h以下)のP-384秘密鍵をTLSサーバから盗み出すことが出来たということです。IntelのSAは出ていませんが、CVE-IDと情報、PoCが公開されてきましたので、今回はこの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。情報が未だ錯綜していますので、逐次情報は更新していく予定です。元になった論文が公開されたのでリンクを貼りました。Advisory[Low]が出たのでリンクを貼りました。現時点での修正方法は、SMT/Hyper-threading機能をBIOSからオフにすることです。各ディストリビューションの情報を確認してください。CPU上で実行エンジンが(Hyper-Threading等の)SMTアーキテクチャ上で共有されることによる新たな脆弱性が発見されました。これによりアプリケーションの秘密のデータ、例えばOpenSSLのようなアプリケーションのデータが漏洩する可能性が有ります。この脆弱性を利用するには、攻撃者が攻撃対象のプロセスと同じプロセッサーコア上で、悪意のあるプロセスを実行する必要があります。この脆弱性を利用してリサーチチームがOpenSSL(1.1.0h以下)のP-384秘密鍵をTLSサーバから盗み出すことが出来たということです。PoCも公開されています。各ディストリビューションの案内に従い、アップデートを行ってください。SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。サービスの再起動が発生する場合には、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。CVE-2018-5407.)セキュリティ系連載案内OSSセキュリティ技術の会による日経Linuxでの連載「IoT時代の最新SELinux入門」がITPro上で読めるようになりました。技術の会代表で第一人者である中村さん等による、最新のSELinuxの情報やコマンド類等も更新されているのでお薦めです。OSSセキュリティ技術の会によるThinkITでの連載「開発者のためのセキュリティ実践講座」がThinkIT上で開始しました。技術の会の中の人間で、最新の代表的なOSSセキュリティ技術を紹介していきます。2017のレポートが紹介されています。OSSセキュリティ技術の会の面により、@ITで「OSS脆弱性ウォッチ」が連載されています。OSSセキュリティ技術の会の面により、@ITで「OpenSCAPで脆弱性対策はどう変わる?」が連載されています。第四回勉強会を行います。Filter)になります。https://secureoss-sig.connpass.com/event/103763/がプログラム内容と申し込みの詳細になります。