Medium

アドバイザリーID : Cisco-SA-20051012-CVE-2005-2969

初公開日 : 2005-10-12 15:54

最終更新日 : 2015-01-31 09:00

バージョン 29.0 : Final

CVSSスコア : 4.3

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2005-2969

CVE-2005-2946

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

OpenSSLには、認証されていないリモートの攻撃者がセキュリティ制限をバイパスできる可能性のある脆弱性が存在します。

1つ目の脆弱性(CVE-2005-2969)は、OpenSSLバージョン0.9.7g以前で提供されるSL/TLSサーバ実装を使用するアプリケーションに影響を与えます。  これらの実装でサードパーティのバグを軽減するオプションが有効になっている場合、中間者攻撃を行うリモート攻撃者は、ホスト間の接続を強制的にSSLプロトコルの2.0バージョンを使用させる可能性があります。  SSL 2.0プロトコルには既知の暗号上の弱点があります。

2つ目の脆弱性(CVE-2005-2946)は、0.9.8aより前のOpenSSLバージョンのデフォルト設定に存在します。  この設定では、MD5を使用してメッセージダイジェストを作成します。  暗号化アルゴリズムの弱点により、リモート攻撃者が有効な認証局(CA)署名を持つ証明書を偽造できる可能性があります。

OpenSSLは、セキュリティアドバイザリでこの脆弱性を確認し、アップデートをリリースしました。

攻撃者は、中間者攻撃ベクトルによって、これらの脆弱性を悪用する可能性は低くなります。  このような攻撃は、2つのホスト間のトラフィックをリアルタイムで代行受信して変更する必要があるため、実行が非常に困難です。  中間者攻撃は、通常、デバイスへの物理的なアクセス権を持つ攻撃者か、顧客とサービスプロバイダー間の接続を持つ攻撃者によってのみ使用できます。

最近、MD5アルゴリズムの弱点に関する多くのデモンストレーションが行われました。  MD5は技術的には壊れていますが、安全ではありません。  攻撃者が偽の証明書の署名に使用するMD5コリジョンを正常に作成できる可能性は低いです。

管理者は、これらの問題に特に注意を払う必要はありません。  管理者は、更新されたバージョンの完全なテストが完了するまで、実稼働システムの更新を待つことを検討できます。  これらの問題が懸念される場合は、管理者がIE 3.x互換性フラグの削除を検討することがあります。

該当製品

OpenSSLは次のリンクでセキュリティアドバイザリをリリースしました：secadv_20051011

Appleは次のリンクでセキュリティに関するお知らせを発表しました。 Security Update 2005-009

Astaroは、Up2Date 4.029、Up2Date 5.208、およびUp2Date 6.101の各リンクでセキュリティアナウンスメントをリリースしました。

Avayaは、ASA-2006-031およびASA-2006-260のリンクでセキュリティアドバイザリをリリースしました。

Blue Coatは次のリンクでセキュリティアドバイザリをリリースしました。Blue Coat Security Advisory

シスコは、Cisco Bug ID CSCsc27533、CSCej54402、CSCsc48330、CSCsc33835、CSCsc58356、およびCSCek01123に対応するセキュリティ応答を次のリンクでリリースしています。68324

Debianは次のリンクからセキュリティアドバイザリをリリースしました： DSA-875-1、DSA-881-1、DSA-882-1、およびDSA-888-1

FreeBSDは次のFTPリンクからセキュリティアドバイザリをリリースしました： FreeBSD-SA-05:21.openssl

Gentooは次のリンクでセキュリティアドバイザリをリリースしました：GLSA 200510-11

HPは、HPのFTPリンクから、該当する製品のリストをPDF形式でリリースしました。 HPは、HPSBUX02174およびHPSBUX02186のリンクからセキュリティアドバイザリをリリースしました。

日立は次のリンクでセキュリティアドバイザリをリリースしました：HS06-022-01およびHS07-016

IBMは次のリンクで脆弱性の説明をリリースしています。

SSRVHMCHMC_C081516_474

SSRVHMCHMC_C081516_604

SSRVHMCHMC_C081516_754

Juniperは次のリンクでセキュリティ情報をリリースしました：PSN-2005-12-025

Mandrivaは次のリンクでセキュリティアドバイザリをリリースしました： MDKSA-2005:179

NetBSDは次のFTPリンクでセキュリティアドバイザリをリリースしました。 NetBSD-SA2005-010

OpenPKGは次のリンクからセキュリティアドバイザリをリリースしました。OpenPKG-SA-2005.022

Red Hatは、RHSA-2005:800、RHSA-2005:882、RHSA-2008:0264、RHSA-2008:0525、およびRHSA-2005:800のセキュリティアドバイザリをリリースしました。 RHSA-2008:0629

SCOグループは、次のFTPリンクでセキュリティアドバイザリをリリースしました。SCOSA-2005.48

SGIは次のFTPリンクでセキュリティアドバイザリをリリースしました:20051003-01-U

Slackwareは次のリンクでセキュリティアドバイザリをリリースしました： SSA:2005-286-01

Sunは次のリンクでアラート通知を再リリースしました。201126

SUSEは次のリンクでセキュリティアナウンスメントをリリースしました。SUSE-SA:2005:061

Trustixは次のリンクでセキュリティアドバイザリをリリースしました。TSLSA-2005-0057およびTSLSA-2005-0059

Ubuntu Linuxは次のリンクでセキュリティ通知をリリースしました：USN-179-1およびUSN-204-1

脆弱性のある製品

OpenSSLバージョン0.9.7h以前を実行しているシステムには脆弱性が存在します。

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

回避策

適切なアップデートを適用することを推奨します。

OpenSSLアプリケーションでは、SSLプロトコルの2.0バージョンを無効にすることを推奨します。

管理者は、SSLロールバックの脆弱性を軽減するために、影響を受けるフラグの削除を検討できます。

修正済みソフトウェア

OpenSSLは次のリンクでパッチをリリースしました。patch-CAN-2005-2969.txt

アップデートされたバージョンは次のリンクから入手できます。OpenSSL 0.9.7hまたは0.9.8a

Appleは次のリンクでアップデートをリリースしました。

Mac OS X 10.3.9クライアント

Mac OS X 10.3.9サーバ

Mac OS X 10.4.3クライアント

Mac OS X 10.4.3サーバ

Astaroは、Astaro 5.208およびAstaro 6.101のFTPリンクでAstaro Security Linuxの更新パッケージをリリースしました。  up2dateコマンドを発行して、最新のパッケージを取得することもできます。

Blue Coatは、登録ユーザ向けのアップデートを次のリンクでリリースしました。Blue Coat

有効な契約を結んでいるシスコのお客様は、CiscoのSoftware Centerからアップデートを入手できます。契約を結んでいないシスコのお客様は、Cisco Technical Assistance Center(TAC)に1-800-553-2447または1-408-526-7209で連絡するか、tac@cisco.comに電子メールでアップグレードを入手できます。

Debianは次のリンクで更新されたパッケージをリリースしました： Debian 3.0 (openssl094)、Debian 3.0 (openssl095)、Debian 3.1 (openssl096)、Debian 3.0/3.1 (openssl096c)

FreeBSDは次のFTPリンクからパッチをリリースしました：openssl.patch

emergeコマンドを使用すると、次のパッケージのGentooアップデートを入手できます。dev-libs/openssl

HPは、HP HTTP Server 5.97のリンクで更新されたHTTP Serverバージョンをリリースしました。  HPは、次のリンクでHP-UX用の更新されたパッケージをリリースしています。

HP-UX 11.11

Revision A.00.09.07lまたはそれ以降

HP-UX 11.23

Revision A.00.09.07l.001またはそれ以降

HITACHIは、通常のHITACHIサポート・チャネルを通じて更新を提供しています。

IBMは次のアップデートをリリースしました。

- HMC 3.3.x for UNIXサーバのサポート

- UNIXサーバおよびミッドレンジ・サーバ向けHMC 4.5のサポート

- UNIXサーバおよびミッドレンジ・サーバ向けHMC 5.1のサポート

Juniperは、登録ユーザ向けのIVE OSの更新バージョンを次のリンクでリリースしました。IVE OS Software

MandrivaはMandrivaUpdateを使用して自動的に更新できます。

NetBSDは次のFTPリンクから更新されたパッケージをリリースしました： NetBSD

OpenPKGは、次のFTPリンクで更新されたパッケージをリリースしました。

OpenPKG 2.3: openssl-0.9.7e-2.3.3

OpenPKG 2.4:openssl-0.9.7g-2.4.2

Red Hatパッケージは、up2dateまたはyumコマンドを使用して更新できます。

SCOグループは、FTPリンクopenssl-0.9.7i.imageで更新されたパッケージをリリースしました。

SGIは、次のリンクで登録ユーザ向けのProPack 3 Service Pack 6のパッチをリリースしました。パッチ10235

Slackwareパッケージは、upgradepkgコマンドを使用して更新できます。

Sunは次のリンクでパッチをリリースしています。

SPARC

Solaris 10:120011-14

Intel

Solaris 10:127128-11

SUSEは更新されたパッケージをリリースしました。ユーザはYaSTを使用して更新をインストールできます。

Trustix製品は、swup —upgradeコマンドを使用して更新できます。

Ubuntuは更新されたパッケージをリリースしました。ユーザはUpdate Managerを使用して更新をインストールできます。

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/Cisco-SA-20051012-CVE-2005-2969

改訂履歴

バージョン

説明

セクション

ステータス

日付

1.0

初版リリース

適用外

Final

2005年10月12日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。