WWW Watch

事前予告されていた OpenSSL のアップデートが公開されたので OpenSSL 1.0.2a を入れた件

OpenSSL に関して、3月 19日に事前予告通り、多数の修正が適用されたバージョンのリリースが行われましたので、自分のサーバ環境にも適用しました。簡単にアップデート情報のまとめと OpenSSL のアップデート手順をまとめておきます。

OpenSSL に関して、3月 19日に重大なアップデートをリリースするよと事前に予告されていた件で、予告通り 19日 (米国時間) に多数の修正が適用されたバージョンのリリースが行われましたので、自分のサーバ環境にも適用しました。

今回のリリースに関連して公開されている各バージョンと、セキュリティアドバイザリーは下記です。

アドバイザリーを確認する限り、細かい脆弱性に関する修正は行われているものの、思っていた程は重大な感じではなく、まずはひと安心でした (もちろん、修正版の適用はなるべく迅速に行うべきです)。

なお、「Severity: High (重要度 高)」 に分類されている FREAK に関連した修正 (CVE-2015-0204) に関しても、後述しますが重要度の再分類があったためにアドバイザリー上で再度掲載されただけで、脆弱性に対する修正自体はすでに過去に行われています。

今回リリースされたバージョン

  • OpenSSL 1.0.2a
  • OpenSSL 1.0.1m
  • OpenSSL 1.0.0r
  • OpenSSL 0.9.8zf

重要度が 「高」 の修正

今回リリースされた最新のアドバイザリーで重要度が 「高」 に分類されているものは下記の 2つです。

OpenSSL 1.0.2 ClientHello sigalgs DoS (CVE-2015-0291)

OpenSSL 1.0.2 のみが対象ですが、無効な署名アルゴリズムが使用されることで、DoS 攻撃に悪用される可能性のある脆弱性に関する修正。

RSA silently downgrades to EXPORT_RSA [Client] (CVE-2015-0204) / Reclassified

OpenSSL 1.0.1、OpenSSL 1.0.0、OpenSSL 0.9.8 が対象になります。この脆弱性に対応する修正版のバージョンはそれぞれ下記の通り。

  • OpenSSL 1.0.1k
  • OpenSSL 1.0.0p
  • OpenSSL 0.9.8zd

所謂 FREAK (Factoring attack on RSA-EXPORT Keys) 脆弱性として騒ぎになった件に関する修正ですが、この脆弱性自体は 2015年 1月 8日の時点ですでに修正されています(下記アドバイザリー参照)。

今回リリースされている最新版のバージョンはそれぞれ、

  • OpenSSL 1.0.1m
  • OpenSSL 1.0.0r
  • OpenSSL 0.9.8zf

ですので、もちろんこの最新版にアップデートすれば、FREAK 脆弱性への対応は含まれます。

2015年 1月 8日時点でのアドバイザリーでは、本脆弱性の重要度が 「低」 になっていたのを、今回 「高」 として再分類した (Reclassified) という形です。

ちなみに、FREAK 対策に関しては、下記の記事を少し前に書いていますので参考まで。

OpenSSL のアップデート手順

前に下記の記事でも書いたのですが、再度 CentOS6 でのアップデート手順を。環境によって差異はあると思いますので参考までに。

今回、私の環境では、OpenSSL 1.0.1k で稼働していたものを、OpenSSL 1.0.2a に上げてみました。

# cd /usr/local/src
# wget https://www.openssl.org/source/openssl-1.0.2a.tar.gz
# tar zxvf openssl-1.0.2a.tar.gz
# cd openssl-1.0.2a
# ./config
# make
# make install

あとは、新しいバージョンにシンボリック・リンクを張って終わり。

# cd /usr/bin/
# cp /usr/bin/openssl /usr/bin/openssl.old
# rm -f /usr/bin/openssl
# ln -s /usr/local/ssl/bin/openssl

アップデートが成功していることを確認。

# openssl version
OpenSSL 1.0.2a 19 Mar 2015

関連エントリー

Recent Entry

全ての記事一覧を見る

Hot Entry

逆引きおすすめエントリー