Japan

サイト内の現在位置を表示しています。

OpenSSL の DH プロトコルにおける脆弱性

掲載番号:NV16-007
脆弱性情報識別番号:JVNVU#95668716

概要

OpenSSL には、Diffie-Hellman (DH) プロトコルに「安全素数」でない素数を使用することで、暗号化に使用する鍵を特定される脆弱性が存在します。

対象製品

CapsSuite

影響の有無

影響あり

対象となる製品のバージョン

CapsSuite V3.0～V4.0 のマネージャコンポーネント

詳細は下記のリンク先情報にてご確認ください。
http://www.support.nec.co.jp/View.aspx?NoClear=on&id=3150110905

対処方法

[対策]
最新バージョン(V5.1) にバージョンアップする。

EnterpriseDirectoryServer

影響の有無

影響あり(※)

(※) CVE-2016-0701 は影響なし。CVE-2015-3197 のみ影響あり。

対象となる製品のバージョン

全バージョン

対処方法

[対策]
下記のパッチを適用することで対処できます。
http://www.support.nec.co.jp/View.aspx?id=9010104518

EnterpriseIdentityManager

影響の有無

影響あり

本製品に同梱する EnterpriseDirectoryServer で SSL/TLS 通信している場合は本脆弱性の影響があります。

対象となる製品のバージョン

  • EnterpriseIdentityManager Ver2.0以降

 

対処方法

[対策]
EnterpriseDirectoryServer で SSL/TLS 通信している場合は、EnterpriseDirectoryServer の修正版を取得して適用してください。
詳細はPPサポートまでお問い合わせください。

ESMPRO/ServerAgent

影響の有無

影響あり

エクスプレス通報(HTTPS経由)を利用して、通報を送信する際、暗号化に使用する鍵を特定される可能性があり、通報内容が取得される可能性があります。

対象となる製品のバージョン

  • Linux版 ESMPRO/ServerAgent Ver4.4.22-1以降

対処方法

[対策]
下記のサイトから、脆弱性が解消されたOpenSSLへのアップデートを行ってください。
https://access.redhat.com/solutions/2145861

なお、アクセスには Red Hat カスタマーポータルにアクセスするためのアカウント情報が必要となります。

ESMPRO/ServerAgentService

影響の有無

影響あり

エクスプレス通報(HTTPS経由)を利用して、通報を送信する際、暗号化に使用する鍵を特定される可能性があり、通報内容が取得される可能性があります。

対象となる製品のバージョン

  • Linux版 ESMPRO/ServerAgentService 全バージョン

対処方法

[対策]
下記のサイトから、脆弱性が解消されたOpenSSLへのアップデートを行ってください。
https://access.redhat.com/solutions/2145861

なお、アクセスには Red Hat カスタマーポータルにアクセスするためのアカウント情報が必要となります。

Express5800/SG

影響の有無

影響あり

対象となる製品のバージョン

  • UNIVERGE SG3000LG/LJ
  • SG3600LM/LG/LJ v6.1、v6.2、v7.0、v7.1、v8.0、v8.2
  • InterSecVM/SG v1.2、v3.0、v3.1、v4.0

対処方法

[対策]
下記のバージョンのパッチをリリースしています。
  • mp10009xx.pkg
  • mp10010xx.pkg
  • mp10011xx.pkg

下記のリンク先情報を参考にパッチ適用をお願いいたします。
https://www.support.nec.co.jp/View.aspx?NoClear=on&id=9010104751

詳細については弊社営業へお問い合わせください。

SecureWare/PKIアプリケーション開発キット

影響の有無

影響あり

対象となる製品のバージョン

  • SecureWare/PKIアプリケーション開発キット Ver3.0、3.01、3.02、3.1

対処方法

[対策]
SecureWare/PKIアプリケーション開発キット Ver3.2 以降にバージョンアップしてください。
バージョンアップの詳細につきましては弊社営業にお問い合わせください。

SystemDirector Enterprise

影響の有無

影響あり

Eclipse の Subclipse を利用して Subversion クライアントに JavaHL が設定された状態でSubversion サーバと通信を行った場合に、サーバとクライアント間の SSL/TLS 通信が中間者攻撃によって解読されたり、改ざんされたりする可能性があります。

対象となる製品のバージョン

  • SystemDirector Enterprise for Java(全モデル) V5.1～V7.2

 

対処方法

[対策]
SystemDirector Enterprise for Java V8.0 以降にバージョンアップしてください。
バージョンアップの詳細につきましては弊社営業にお問い合わせください。

[回避策]
以下の手順で SVN クライアントを OpenSSL を利用する JavaHL から SVNKit へ変更します。
  1. Eclipse の「ウィンドウ」メニューから「設定」を選択する。
  2. 設定画面で「チーム」->「SVN」を選択する。
  3. SVN インターフェイスが「JavaHL (JNI) <バージョン情報>」だった場合、「SVNkit(Pure Java) SVNKit <バージョン情報>」を選択して「OK」ボタンを押す。

WebSAM Application Navigator

影響の有無

影響あり

Manager、Agent に影響があります。

対象となる製品のバージョン

  • Manager: Ver3.2.2 - Ver4.1
  • Agent: Ver3.3 - Ver4.1

対処方法

[対策]
  • Manager、Agent:
Ver4.2 で対応を完了しています。
入手方法につきましては、弊社営業までお問い合わせください。

WebSAM JobCenter

影響の有無

影響あり

対象となる製品のバージョン

  • R14.1系: R14.1、R14.1.1
  • R14.2系: R14.2

    • 対処方法

    [対策]

    　修正版へバージョンアップを行ってください。

    　- R14.1系: R14.1.2
        https://www.support.nec.co.jp/View.aspx?NoClear=on&id=9010104074

    　- R14.2系: R14.2.1
        https://www.support.nec.co.jp/View.aspx?NoClear=on&id=9010104656

    　バージョンアップの詳細につきましては弊社営業にお問い合わせください。

    WebSAM MCOperations

    影響の有無

    影響あり


    対象となる製品のバージョン

    • Ver3.6.2 - Ver4.2

    対処方法

    [対策]
    Ver4.3 以降にバージョンアップをお願いします。
    バージョンアップにつきましては、保守契約を締結した後、バージョンアップ申請を行っていただく必要があります。
    不明点は弊社営業までご相談ください。

    また、バージョンアップ手順につきましては、製品付属のリリースメモをご参照ください。

    WebSAM SystemManager

    影響の有無

    影響あり

    対象となる製品のバージョン

    • Ver5.5.2 - Ver6.2.1

    対処方法

    [対策]
    Ver6.3 で対応を完了しています。
    バージョンアップにつきましては、保守契約を締結した後、バージョンアップ申請を行っていただく必要があります。
    不明点は弊社営業までご相談ください。

    また、バージョンアップ手順につきましては、製品付属のリリースメモをご参照ください。

    UNIVERGE PFシリーズ

    影響の有無

    影響あり

    OpenFlow コントロールとの間で TLS を使った通信を行う場合、本脆弱性の影響を受ける可能性があります。

    対象となる製品のバージョン

    • - PF5240:
      　- V1.0.1.0
      　- V2.0.0.2、V2.0.0.3
      　- V3.0.0.0～V3.0.0.6
      　- V4.0.0.0～V4.0.1.3
      　- V5.0.0.1～V5.0.0.3
      　- V5.1.0.0～V5.1.1.3
      　- V6.0.0.0～V6.0.2.0
    • - PF5248: 　- V4.0.0.0～V4.0.1.3
      　- V5.0.0.1～V5.0.0.3
      　- V5.1.0.0～V5.1.1.3
      　- V6.0.0.0～V6.0.2.0
    • - PF5220: 　- V4.0.0.0
      　- V5.0.0.1
      　- V5.1.0.0～V5.1.1.3
      　- V6.0.0.0～V6.0.2.0
    • - PF5241: 　- V6.0.0.0～V6.0.1.1

    対処方法

    [対策]
    次のバージョンのソフトウェアで対応完了しています。最新のバージョンにバージョンアップしてください。
    - V5.1.1.4、V6.0.2.1
    ソフトウェアの入手につきましては、販売店またはお近くの弊社営業拠点にご相談ください。

    参考情報

    Japan Vulnerability Notes JVNVU#95668716:
    OpenSSL の DH プロトコルにおける脆弱性
    http://jvn.jp/vu/JVNVU95668716/

    CERT/CC Vulnerability Note VU#257823:
    OpenSSL re-uses unsafe prime numbers in Diffie-Hellman protocol
    https://www.kb.cert.org/vuls/id/257823

    CVE-2016-0701, CVE-2015-3197:
    http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0701
    http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3197

    更新情報

    2020/11/10
    UNIVERGE PFシリーズ を登録しました。
    2019/09/12
    WebSAM JobCenter を登録しました。
    2018/02/05
    SystemDirector Enterprise を登録しました。
    2017/11/08
    EnterpriseIdentityManager を登録しました。
    2016/08/18
    ESMPRO/ServerAgent、ESMPRO/ServerAgentService、Express5800/SG、WebSAM Application Navigator、WebSAM MCOperations、WebSAM SystemManager を登録しました。
    2016/07/08
    CapsSuite、SecureWare/PKIアプリケーション開発キットを登録しました。
    2016/06/20
    EnterpriseDirectoryServerを登録しました。