OpenSSLの脆弱性CVE-2016-800(DROWN)やCVE-2016-0702(CacheBleed)についてまとめてみた - piyolog
2016年3月1日(現地時間)、OpenSSL プロジェクトは脆弱性の愛称「DROWN」や「CacheBleed」を含む8件の脆弱性情報を公開し、これら影響を受けるものの修正を行った最新版をリリースしました。ここでは関連情報をまとめます。 脆弱性情報概要 注意喚起 OpenSSL の複数の脆弱性に関する注意喚起 - JPCERT/CC SSLv2 DROWN Attack - US-CERT OpenSSL Projectの公開情報 Forthcoming OpenSSL releases OpenSSL Security Advisory ［1st March 2016］ OpenSSL version 1.0.1s published OpenSSL version 1.0.2g published An OpenSSL User’s Guide to DROWN 2016年3月1日公
OpenSSLの更新版公開、「Logjam」対策を実装
「Logjam」と呼ばれるTLSプロトコルの脆弱性の悪用を防ぐ対策を実装したほか、6件の脆弱性が修正された。 OpenSSLのセキュリティアップデートが6月11日付で公開された。「Logjam」と呼ばれるTLSプロトコルの脆弱性の悪用を防ぐ対策などが盛り込まれている。 Logjamは過去の米政府の暗号輸出規制に起因する脆弱性で、攻撃者が中間者攻撃を仕掛けてTLS接続の暗号化方式を格下げさせ、通信の内容を傍受したり、改ざんしたりできる可能性が指摘されている。OpenSSLの更新版（1.0.2bおよび1.0.1n）ではこの脆弱性を突く攻撃を防ぐための仕組みを追加した。 他にも6件の脆弱性が修正されており、危険度はいずれも中～低レベルと評価されている。脆弱性が存在するのはOpenSSL 1.0.2、1.0.1、1.0.0、0.9.8の各バージョン。それぞれ1.0.2b、1.0.1n、1.0.0s
OpenSSLのセキュリティアップデートが公開へ
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます OpenSSLのアップデートが3月19日にリリースされる。このアップデートでは、深刻度が「高」とレーティングされているものを1件含む、多くの未公表のセキュリティホールが修正される。 OpenSSLプロジェクトは開発者に向けた通知で、バージョン1.0.2a、1.0.1m、1.0.0r、0.9.8zfを19日にリリースすると発表した。脆弱性の詳細は、攻撃が広がるのを抑制するために今のところ開示されていない。 OpenSSLは特に普及しており、広く利用できるオープンソースツールキットの1つで、SSLとTLSを実装している。しかし、最近話題になった一連のセキュリティホールによって、このソフトウェアで保護されているサーバ、ウェブサイト、データベー
WiresharkでSSL通信の中身を覗いてみる - ろば電子が詰まつてゐる
OpenSSLの脆弱性「Heartbleed」が世間を賑わせていますが、色々と乗り遅れてしまった感があるので、ゆるゆると落ち穂拾いをしようかと思います。 Heartbleedで秘密鍵を手に入れたらSSL通信の中身全部見えちゃうじゃん!! という事態になっていますが、なんとなく理論的にそうだろうなと分かるもののイマイチ具体的な手順が分からない。 というわけで今回のテーマとして、手元にサーバの秘密鍵と、SSL通信をパケットキャプチャしたpcapファイルがあるときに、Wiresharkでどんな感じでSSL通信を「ほどく」のか……という具体的な手順を、ハマり所を含めてまとめておこうかと思います。 というか、私自身がハマったので自分用メモですな。なおこの文書では"SSL"とだけ記述し、TLSは無視しています。 前提条件 とりあえず以下のような感じの検証環境で試しました。 IPアドレス 説明 ホストO
OpenSSL の Man-in-the-middle 攻撃可能な脆弱性の影響 – IIJ Security Diary
OpenSSL に Man-in-the-middle (MITM) 攻撃が可能な脆弱性 CVE-2014-0224 が発見され、日本時間2014年6月5日の夜に公開されました。そのアドバイザリでは合わせて7件の脆弱性が報告されていますが、本記事では脆弱性 CVE-2014-0224 を取り上げます。IIJ でも本脆弱性を調査した結果、MITM 攻撃が可能になるには条件があります。したがって、例えば使用している OpenSSL のバージョンや SSL/TLS 通信の利用の仕方に応じて、アップデートの緊急性を個別に検討する余地があります。 概要 本脆弱性による MITM 攻撃[1]MITM 攻撃とは、サーバとクライアントの間に攻撃者が割り込み、通信内容の盗聴や改ざんを行う攻撃です。では、サーバとクライアントの両方が OpenSSL を使っている場合に、その間にいる攻撃者が SSL/TLS ハ
OpenSSL脆弱性の再発防止へ、業界大手が重要オープンソースプロジェクトを支援
GoogleやMicrosoft、富士通などの大手が参加して、インターネットのインフラを担うオープンソースプロジェクトを資金面でバックアップする。 オープンソースのSSL／TLS暗号化ライブラリ「OpenSSL」に致命的な脆弱性が見つかったことを受け、GoogleやMicrosoft、IBMなどの業界大手が参加して、インターネットのインフラを担うオープンソースプロジェクトを資金面でバックアップする「Core Infrastructure Initiative」を発足させた。Linux Foundationが4月24日に発表した。 Core Infrastructure InitiativeにはAmazon Web Services（AWS）、Cisco、Dell、Facebook、富士通、Google、IBM、Intel、Microsoft、NetApp、Rackspace、VMwareな
OpenOpenSSL
the main OpenOpenSSL pageAbout OpenOpenSSL Project Goals Hardware Platforms Daily Changelog Security Crypto Events Papers Press Commercial Support Getting OpenOpenSSL CDs/T-shirts/Posters Getting Releases Installing OpenOpenSSL Getting Source AnonCVS CVSync Web OpenOpenSSL Resources Manuals FAQ Patches Reporting Mailing Lists Application Packages Books that Help Supporting Open
セキュリティホール memo - 2014.04
》 ピーチ・アビエーション MM252 便、那覇空港沖で重大インシデント ＜お詫び＞4 月 28 日 MM252 便の運航について (ピーチ・アビエーション, 4/29) ピーチ:那覇空港で着陸を緊急回避 乗客乗員にけがなし (毎日, 4/29) ピーチ旅客機「重大インシデント」で調査開始 (NHK, 4/29) ピーチ機長「降下指示されたと勘違い」 (NHK, 4/29) 異常降下 管制官が高度低下を複数回注意 (NHK, 4/30) 思い込みのパワーって半端ないからなあ。 》 大臣臨時会見概要 (防衛省, 4/28)。オーストラリア訪問。防衛装備協力の件、具体的に出てきてる名前は潜水艦と F-35。 Ｑ：防衛装備協力については、同じような装備があるということで協力していくということですけれども、先方の方から、具体的にどういった分野での協力を要請されたのでしょうか。 Ａ：例えば、海の方で
Heart Bleedを読んだ - The first cry of Atom
int dtls1_process_heartbeat(SSL *s) { unsigned char *p = &s->s3->rrec.data[0], *pl; unsigned short hbtype; unsigned int payload; unsigned int padding = 16; /* Use minimum padding */ heartbeatという機能の詳しいことは調べられていないけれどどうやらクライアントーサーバ型の機能を提供するものらしい。 つまり何らかのリクエストを受け取ってレスポンスを返すようなサービスを提供するものらしい。dtls1_process_heartbeatで大事なのは ポインタpだ。これはリクエストデータを受け取って格納している。このリクエストデータは構造体になっていて、以下のように記述されている。 typedef struct
Heartbleed Bug
The Heartbleed Bug is a serious vulnerability in the popular OpenSSL cryptographic software library. This weakness allows stealing the information protected, under normal conditions, by the SSL/TLS encryption used to secure the Internet. SSL/TLS provides communication security and privacy over the Internet for applications such as web, email, instant messaging (IM) and some virtual private network
Important: openssl security update | Red Hat Customer Portal
주제 Updated openssl packages that fix one security issue are now available for Red Hat Enterprise Linux 6. The Red Hat Security Response Team has rated this update as having Important security impact. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available from the CVE link in the References section. 설명 OpenSSL is a toolkit that implements the S
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「OpenSSL」に新たな複数の脆弱性、深刻度は「中」レベル（JVN） | ScanNetSecurity
Reddit - The heart of the internet
米IT大手、暗号化ソフトの安全対策で団体設立 - 日本経済新聞
OpenSSL SSL/TLS MITM vulnerability (CVE-2014-0224)
人気サイトは“Heartbleed”パッチ済み、ただし以前に漏れた可能性も 
Expired
TechCrunch | Startup and Technology News
Recent OpenSSL Website Defacement
OpenSSL Security Advisory [10 May 2012] / Invalid TLS/DTLS record attack (CVE-2012-2333)