Japan
サイト内の現在位置を表示しています。
OpenSSLに複数の脆弱性
掲載番号:NV15-015
脆弱性情報識別番号:JVNVU#95877131
概要
OpenSSLには複数の脆弱性が存在します。
- CVE-2015-0204
RSAからEXPORT_RSAへダウングレードされる脆弱性があります。
攻撃者によってEXPORT_RSAへダウングレードされ、ブルートフォース攻撃によって暗号を
解読される可能性があります。
これは「FREAK攻撃」とも呼ばれています。
- CVE-2015-0207
の処理に脆弱性があります。
攻撃者によって細工されたDTLSトラフィックを処理することで、サービス運用妨害
(アプリケーションクラッシュ)状態となる可能性があります。
- CVE-2015-0208
検証する処理に脆弱性があります。
攻撃者によって細工されたRSA PSSパラメータを処理することで、サービス運用妨害(NULL
ポインタデリファレンスおよびアプリケーションクラッシュ)状態にされる可能性があります。
- CVE-2015-0209
使用(Use-after-free)の脆弱性があります。
攻撃者によって細工された秘密鍵を処理することで、サービス運用妨害(メモリ破損および
アプリケーションクラッシュ)状態にされるなどの可能性があります。
- CVE-2015-0285
PRNG(乱数生成器)がシードされていることを確認しない脆弱性があります。
攻撃者によって、総当たり攻撃(Brute force attack)で暗号保護メカニズムを破られる可能性
があります。
- CVE-2015-0286
型を比較する処理に脆弱性があります。
攻撃者によって細工されたX.509証明書を処理することで、サービス運用妨害(無効な読み取り
操作およびアプリケーションクラッシュ)状態にされる可能性があります。
- CVE-2015-0287
ADBデータ構造を再初期化する処理に脆弱性があります。
攻撃者にASN.1の構造の再利用に依存するアプリケーションを利用されることで、サービス運用
妨害(不正な書込み操作およびメモリ破損)状態にされる可能性があります。
- CVE-2015-0288
チェックする処理に脆弱性があります。
攻撃者によって細工された証明書の鍵を処理することで、サービス運用妨害(NULLポインタ
デリファレンスおよびアプリケーションクラッシュ)状態にされる可能性があります。
- CVE-2015-0289
攻撃者によって細工されたデータを処理することで、サービス運用妨害(NULL ポインタ
デリファレンスおよびアプリケーションクラッシュ)状態にされる可能性があります。
- CVE-2015-0290
機能に脆弱性があります。
攻撃者によって細工されたBIOを処理することで、サービス運用妨害(ポインタの破損および
アプリケーションクラッシュ)状態にされる可能性があります。
- CVE-2015-0291
攻撃者によって再ネゴシエーション中にClientHelloメッセージの無効な署名アルゴリズムの
拡張機能を使用されることで、サービス運用妨害(NULLポインタデリファレンスおよびデーモン
クラッシュ)状態にされる可能性があります。
- CVE-2015-0292
脆弱性があります。
攻撃者によって細工されたbase64データを処理することで、サービス運用妨害 (メモリ破損)
状態にされるなどの可能性があります。
- CVE-2015-0293
攻撃者によって細工されたCLIENT-MASTER-KEYメッセージを処理することで、サービス運用妨害
(s2_lib.c表明違反およびデーモンの終了)状態にされる可能性があります。
- CVE-2015-1787
メッセージの処理に脆弱性があります。
攻撃者によって細工されたClientKeyExchangeメッセージを処理することで、サービス運用妨害
(デーモンクラッシュ)状態にされる可能性があります。
対象製品
CapsSuite
影響の有無
本脆弱性を突いた攻撃を受けると、画面アクセス時の通信内容が解読される恐れがあります。
【CapsSuite】 OpenSSLに複数の脆弱性(JVNVU#95877131)への影響と対策について
https://www.support.nec.co.jp/View.aspx?id=3150109724
対象となる製品のバージョン
※ CapsSuite V5, V5.1は影響を受けません。
対処方法
(1) [WebOTXインストールディレクトリ(※)]\WebServer\ssl.confを開き、
SSLCipherSuiteの行に『!EXP』を追加します。
(※) デフォルトでは "C:\Program Files\NEC\WebOTX" となります。
[例:変更前]
SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL |
[例:変更後]
SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:!EXP:+eNULL |
(2) [管理ツール]-[サービス]から"WebOTX WebServer"サービスを再起動します。
CSVIEW
影響の有無
対象となる製品のバージョン
- FAQナビ
- 公開系画面、もしくは管理系画面で SSL/TLS を使用している場合、 OpenSSL の脆弱性 (CVE-2015-0204) の影響があります。
(SSL/TLS を使用していない場合は該当脆弱性の影響はありません。)
- Webアンケート
- Webアンケートのパッケージに内包している OpenSSL のバージョンが 0.9.8 系で 0.9.8zf 未満の場合、影響があります。
(サーバ側の設定により OpenSSL が利用可能です。)
対処方法
- Webアンケート
- WebアンケートV5.1 (Red Hat Enterprise Linux Server5)
- WebアンケートV5.2 (Red Hat Enterprise Linux Server5)
- WebアンケートV4.0 (Red Hat Enterprise Linux ES3)
- WebアンケートV5.0 (Red Hat Enterprise Linux ES4)
- WebアンケートV5.1 (Red Hat Enterprise Linux ES4)
- WebアンケートV5.2 (Red Hat Enterprise Linux ES4)
上記 (2) の適用手順の詳細については、サポートポータルからお問い合わせください。
- FAQナビ
具体的には、設定ファイル (ssl.conf) 中の SSLCipherSuite ディレクティブを下記のように修正してください。
SSLCipherSuite ALL:!ADH:!EXPORT56:!RC4:+HIGH:+MEDIUM:!LOW:!SSLv2:!EXP:!aNULL:!eNULL |
公開系画面、および管理系画面の両方で SSL/TLS を使用している場合には、それぞれの設定ファイル毎に上記設定追加が必要になりますのでご注意ください。
FAQナビ https://www.support.nec.co.jp/View.aspx?id=3010101546
Webアンケート https://www.support.nec.co.jp/View.aspx?id=3010101387
EnterpriseDirectoryServer
影響の有無
対象となる製品のバージョン
- CVE-2015-0286、CVE-2015-0287
また、EnterpriseDirectoryServer (以下、EDS) サーバ/クライアントの SSL/TLS 通信においては影響はなく、EDS に同梱の OpenSSL を独自に利用する場合に影響があります。
- CVE-2015-0209
- CVE-2015-0288
また、EDS サーバ/クライアントの SSL/TLS 通信においては影響はなく、EDS に同梱の OpenSSL ライブラリを使用して証明書発行要求を生成する場合にのみ影響を受ける可能性があります。
対処方法
- CVE-2015-0204
- CVE-2015-0293
- CVE-2015-0292
EDS_patch_Win_Vx.x_140609_rel (※)
EDS_patch_RHEL5_Vx.x_140609_rel (※)
EDS_patch_RHEL5_V8.0_140625_rel
※ x.x はバージョン番号です。
パッチの詳細につきましては、下記 URL にてご確認ください。
https://www.support.nec.co.jp/View.aspx?id=9010103932
EnterpriseIdentityManager
影響の有無
本製品に同梱する EnterpriseDirectoryServer で SSL/TLS 通信している場合に影響があります。
なお、EnterpriseIdentityManager Ver1.x をご利用の場合は影響ありません。
対象となる製品のバージョン
対処方法
EnterpriseDirectoryServer の修正版を以下から取得して適用してください。
https://www.support.nec.co.jp/View.aspx?id=9010103932
Express5800/SG
影響の有無
対象となる製品のバージョン
- UNIVERGE SG3000LG/LJ
- SG3600LM/LG/LJ v6.1,v6.2,v7.0,v7.1,v8.0
- InterSecVM/SG v1.2,v3.0,v3.1,v4.0
対処方法
- mp10006xx.pkg
- mp10007xx.pkg
- mp10008xx.pkg
下記のリンク先情報を参考にパッチ適用をお願いいたします。
https://www.support.nec.co.jp/View.aspx?NoClear=on&id=9010104421
詳細については弊社営業へお問い合わせください。
Express5800/SIGMABLADE
影響の有無
SIGMABLADE EMカード(N8405-019/019A/043)で影響を受けます。
対象となる製品のバージョン
対処方法
- SIGMABLADE EMカード(N8405-019/019A/043)用ファームウェア: Rev.15.02 以降
InfoCage セキュリティリスク管理
影響の有無
【InfoCage セキュリティリスク管理】 OpenSSLに複数の脆弱性 (JVNVU#95877131) への影響と対策について
https://www.support.nec.co.jp/View.aspx?id=3150109723
IP38Xシリーズ
影響の有無
(1) CVE-2015-0287、CVE-2015-0292
IP38Xシリーズの SSHサーバ機能、SSHクライアント機能、SCP機能がこの脆弱性の影響を受け、
サービス運用妨害 (DoS) 攻撃を受けるなどの可能性があります。
https://www.rtpro.yamaha.co.jp/RT/docs/sshd/
SSHクライアント機能
https://www.rtpro.yamaha.co.jp/RT/docs/ssh/
SCP機能
https://www.rtpro.yamaha.co.jp/RT/docs/scp/
なっています。
(2) CVE-2015-0204、CVE-2015-0288
IP38Xシリーズ IP38X/SR100のQAC/TM機能がこの脆弱性の影響を受け、中間者攻撃
(man-in-the-middle attack)により、QAC/TMで行われる通信の内容を復号される可能性
があります。
対象となる製品のバージョン
装置シリーズ名 | バージョン |
IP38X/1210 | 全てのリビジョン |
IP38X/5000 | 全てのリビジョン |
IP38X/3500 | 全てのリビジョン |
IP38X/FW120 | Rev.11.03.08以前 |
IP38X/810 | Rev.11.01.21以前 |
IP38X/N500 | 全てのリビジョン |
IP38X/1200 | 全てのリビジョン |
IP38X/SR100 | 全てのリビジョン |
IP38X/58i | 全てのリビジョン |
IP38X/3000 | 全てのリビジョン |
IP38X/107e | Rev.8.03.42以降 |
IP38X/1500 | Rev.8.03.37以降 |
IP38X/1100 | Rev.8.03.37以降 |
(2) CVE-2015-0204、CVE-2015-0288の対象となる製品のバージョン
装置シリーズ名 |
バージョン |
IP38X/SR100 | Rev.10.00.44以降 |
対処方法
この脆弱性への対策をした以下のファームウェアへのリビジョンアップをお願いします。
装置シリーズ名 | ファームウェア対応状況 |
IP38X/1210 | Rev.14.01.09 |
IP38X/5000 | 順次リリース予定 |
IP38X/3500 | 順次リリース予定 |
IP38X/FW120 | Rev.11.03.13 |
IP38X/810 | Rev.11.01.25 |
IP38X/N500 | 順次リリース予定 |
IP38X/1200 | 順次リリース予定 |
IP38X/SR100 | 順次リリース予定 |
IP38X/58i | 順次リリース予定 |
IP38X/3000 | 順次リリース予定 |
IP38X/107e | 順次リリース予定 |
IP38X/1500 | 順次リリース予定 |
IP38X/1100 | 順次リリース予定 |
(2)CVE-2015-0204の対策
この脆弱性への対策をしたファームウェアのリリースを予定しています。
対策済みファームウェアへのリビジョンアップをお願いします。
装置シリーズ名 | ファームウェア対応状況 |
IP38X/SR100 | 順次リリース予定 |
SSHサーバ機能、SSHクライアント機能、SCP機能を無効にする。
コマンド:
- SSHサーバー機能のOFF
sshd service off |
- sshコマンドとscpコマンドの使用を禁止
security class |
(2)CVE-2015-0204の回避策
QAC/TM機能を停止する。
コマンド:
qac-tm use off |
iStorage HSシリーズ
影響の有無
対象となる製品のバージョン
対処方法
- Version 4.4.0
- Version 4.3.1
Version V4.3.1につきましては、以下のURLで修正物件を公開しています。
https://www.support.nec.co.jp/View.aspx?NoClear=on&id=9010103965
修正物件は保守契約を結んでいただいたお客様に限定して提供させていただいています。
Version V4.3.1以外につきましては、弊社営業までご確認ください。
iStorage NVシリーズ
影響の有無
対象となる製品のバージョン
- NV7500/NV5500/NV3500シリーズ
- NV7400/NV5400/NV3400シリーズ
対処方法
https://www.support.nec.co.jp/View.aspx?NoClear=on&id=9010104104
パッチは保守契約を結んでいただいたお客様に限定して提供させていただいています。
IX1000/IX2000/IX3000シリーズ
影響の有無
IKEv2で証明書を利用している場合に影響を受ける可能性があります。
対象となる製品のバージョン
- バージョン:Ver.8.7.22以降の全バージョン
対処方法
- Ver9.2.20, 9,1,11
修正ソフトウェアへのバージョンアップ手順につきましては、装置を購入した営業窓口までお問い合わせください。
SecureWare/PKIアプリケーション開発キット
影響の有無
対象となる製品のバージョン
- SecureWare/PKIアプリケーション開発キット Ver3.0、3.01、3.02、3.1
対処方法
バージョンアップの詳細につきましては弊社営業にお問い合わせください。
SystemDirector Enterprise
影響の有無
Eclipse の Subclipse を利用して Subversion クライアントに JavaHL が設定された状態でSubversion サーバと通信を行った場合に、サーバとクライアント間の SSL/TLS 通信が中間者攻撃によって解読されたり、改ざんされたりする可能性があります。
対象となる製品のバージョン
- SystemDirector Enterprise for Java (全モデル) V5.1~V7.2
対処方法
バージョンアップの詳細につきましては弊社営業にお問い合わせください。
- Eclipse の 「ウィンドウ」 メニューから 「設定」 を選択する。
- 設定画面で 「チーム」 → 「SVN」 を選択する。
- SVN インターフェイスが 「JavaHL (JNI) <バージョン情報>」 だった場合、 「SVNkit(Pure Java) SVNKit <バージョン情報>」 を選択して 「OK」 ボタンを押す。
UNIVERGE 3C
影響の有無
対象となる製品のバージョン
- UCM: V8.5.4以前
- CMM: 全バージョン
対処方法
- UCM
詳細につきましては弊社営業にお問合せください。
- CMM
詳細につきましては弊社営業にお問合せください。
WebOTX
影響の有無
対象となる製品のバージョン
- WebOTX Web Edition V4.1~V6.5
- WebOTX Standard-J Edition V4.1~V6.5
- WebOTX Standard Edition V4.2~V6.5
- WebOTX Enterprise Edition V4.2~V6.5
- WebOTX Application Server Web Edition V7.1~V8.1
- WebOTX Application Server Standard-J Edition V7.1~V8.1
- WebOTX Application Server Standard Edition V7.1
- WebOTX Application Server Enterprise Edition V7.1
- WebOTX Application Server Express V8.2~V9.2
- WebOTX Application Server Foundation V8.2~V8.5
- WebOTX Application Server Standard V8.2~V9.2
- WebOTX Application Server Enterprise V8.2~V9.2
- WebOTX Enterprise Service Bus V6.4~V9.2
- WebOTX SIP Application Server Standard Edition V7.1~V8.1
- WebOTX Portal V8.2~V9.1
- WebOTX UDDI Registry V1.1~V7.1
対処方法
Webサーバ 2.4用パッチモジュール
https://www.support.nec.co.jp/View.aspx?NoClear=on&id=9010103925
Webサーバ 2.2(WebOTX V8.4/V9.1/V9.2/V9.3)用パッチモジュール
https://www.support.nec.co.jp/View.aspx?NoClear=on&id=9010102290
Webサーバ 2.2(WebOTX V8.2/V8.3)用パッチモジュール
https://www.support.nec.co.jp/View.aspx?NoClear=on&id=9010102287
Webサーバ 2.0用パッチモジュール
https://www.support.nec.co.jp/View.aspx?NoClear=on&id=9010100937
WebSAM Application Navigator
影響の有無
Agent、Manager、Probe Option に影響があります。
Probe Option では FTP/DNS/MAIL/TCP を監視している場合も影響があります。
対象となる製品のバージョン
- Manager: Ver3.2.2 - Ver4.1
- Agent: Ver3.3 - Ver4.1
- Probe Option: Ver3.1.0.x - Ver4.1.0.x
対処方法
- Manager、 Agent:
アップデートの詳細につきましては、弊社営業までお問い合わせください。
- Probe Option:
- WebSAM Application Navigator Manager 4.1.1.1
- WebSAM Application Navigator View 4.1.1.1
- WebSAM Application Navigator Probe Agent 4.1.1.1
入手方法につきましては、弊社営業までお問い合わせください。
WebSAM JobCenter
影響の有無
対象となる製品のバージョン
対処方法
なお、修正モジュールは製品保守契約を結んでいただいたお客様に限定して提供させていただいています。
https://www.support.nec.co.jp/View.aspx?id=9010104074
UNIVERGE PFシリーズ
影響の有無
対象となる製品のバージョン
- - PF5240:
- V1.0.1.0
- V2.0.0.2、V2.0.0.3
- V3.0.0.0~V3.0.0.6
- V4.0.0.0~V4.0.1.3
- V5.0.0.1~V5.0.0.3
- V5.1.0.0~V5.1.1.3
- V6.0.0.0~V6.0.2.0 - - PF5248: - V4.0.0.0~V4.0.1.3
- V5.0.0.1~V5.0.0.3
- V5.1.0.0~V5.1.1.3
- V6.0.0.0~V6.0.2.0 - - PF5220: - V4.0.0.0
- V5.0.0.1
- V5.1.0.0~V5.1.1.3
- V6.0.0.0~V6.0.2.0 - - PF5241: - V6.0.0.0~V6.0.1.1
対処方法
- V5.1.1.4、V6.0.2.1
ソフトウェアの入手につきましては、販売店またはお近くの弊社営業拠点にご相談ください。
参考情報
Japan Vulnerability Notes JVNVU#95877131:
OpenSSL に複数の脆弱性
https://jvn.jp/vu/JVNVU95877131/
CVE-2015-0204, CVE-2015-0207, CVE-2015-0208, CVE-2015-0209, CVE-2015-0285,
CVE-2015-0286, CVE-2015-0287, CVE-2015-0288, CVE-2015-0289, CVE-2015-0290,
CVE-2015-0291, CVE-2015-0292, CVE-2015-0293, CVE-2015-1787:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0204
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0207
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0208
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0209
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0285
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0286
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0287
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0288
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0289
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0290
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0291
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0292
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0293
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1787
更新情報
- 2020/12/18
- 2016/10/31
- 2016/09/14
- 2016/08/18
- 2016/07/08
- 2016/06/20
- 2016/01/29
- 2015/12/04
- 2015/11/20
- 2015/10/30