Medium

アドバイザリーID : Cisco-SA-20091105-CVE-2009-3555

初公開日 : 2009-11-05 19:53

最終更新日 : 2012-08-14 16:24

バージョン 75.0 : Final

CVSSスコア : 4.3

回避策 : No Workarounds available

Cisco バグ ID :

CVE-2009-3555

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

Multiple Transport Layer Security(TLS)の実装には、TLSセッションを再ネゴシエートする際に、認証されていないリモートの攻撃者が中間者攻撃を実行する可能性のある脆弱性が含まれています。

この脆弱性は、TLS再ネゴシエーションプロセス中に存在します。攻撃者がクライアントからTLSサーバへのトラフィックを代行受信できる場合、攻撃者は不正なTLSサーバをステージングしてそのトラフィックを代行受信し、クライアントが望ましいTLSサーバと考えるものに対してクライアントを認証するように見える可能性があります。攻撃者は正当なTLSサーバに認証を行い、中間者攻撃を仕掛けることができます。ただし、攻撃者はセッションの内容を表示できず、データまたは要求をセッションに挿入することしかできません。

この脆弱性を不正利用するプルーフオブコンセプトコードは一般に公開されています。

OpenSSLは、この脆弱性をchangelogで確認し、更新されたソフトウェアをリリースしました。

この脆弱性を不正利用するには、攻撃者がTLSクライアントからTLSサーバへのトラフィックを代行受信できる必要があります。多くの場合、攻撃者はターゲットユーザのシステムに隣接するネットワークにアクセスする必要があります。もう1つの可能性は、攻撃者が正当なTLSサーバに隣接するネットワークにアクセスできる可能性です。

この脆弱性は、TLSの複数の実装に影響を与える可能性があります。

該当製品

Apacheは次のリンクからchangelogをリリースしました： Apache 2.2.15での変更点

Appleは、 Security Update 2010-001、 Java for Mac OS X 10.6 Update 3、および Java for Mac OS X 10.5 Update 8の各リンクでセキュリティアップデートをリリースしました。

シスコは、 cisco-sa-20091109-tlsリンクでセキュリティアドバイザリを再リリースしました。このアドバイザリには、関連するバグID番号が記載されていますが、製品に脆弱性が存在するか、または存在しないことが確認されると、これらの番号は変更される可能性があります。

Citrixは次のリンクからセキュリティアドバイザリをリリースしました。 CTX123359

F5は次のリンクで登録ユーザ向けのセキュリティアドバイザリをリリースしました： CVE-2009-3555

FreeBSDは次のリンクからセキュリティアドバイザリをリリースしました： FreeBSD-SA-09:15.ssl

FreeBSDは次のリンク先でVuXMLドキュメントを公開しています。 mozilla – 複数の脆弱性

HPでは、次のリンクでセキュリティ情報を公開しています。c01945686(HPSBUX02482 SSRT090249)、c02079216(HPSBUX02517 SSRT100058)、c02171256(HPSBMA02534 SSRT090180)、c02122104(HPSBUX02524 SSRT10089)、c02436041(HBSBSBBBBBBBMA) n02562 SSRT090249、c02512995 at HPSBMA02568 SSRT100219、c02616748 at HPSBUX02608 SSRT10033、c03263573 at HPSBMU02759 SSRT100817、およびc03281831 at HPSBOV02762 SSRT100825。HPでは、 HPSBU02498 SSRT090264および HPSBMA SSRTのリンクで、登録ユーザ向けのセキュリティ速報c01963123およびc02273751もリリースし02547います100179

IBMは PK96157、 PM12247、および PM10658のリンクでAPARをリリースしました。IBMは次のリンクでアドバイザリをリリースしています。swg24025312、 swg21415080、 swg21426108、 swg24006386、および swg2160716。IBMは、 CVE-2009-3555のリンクでセキュリティアラートを再リリースしました。IBMは登録ユーザ向けのAPARを次のリンクでリリースしました。 IC68055

Microsoftは、 MS10-049、 Microsoft Security Advisory (977377)、および KB 977377の各リンクでセキュリティ情報、セキュリティアドバイザリ、およびナレッジベースの記事を公開しています。

MontaVistaソフトウェアは、2012年3月9日に次のリンクで登録ユーザ向けのセキュリティアラートをリリースしました。 MontaVistaのセキュリティ修正

Mozillaは次のリンクでセキュリティアドバイザリをリリースしました。 MFSA 2010-22

NetBSDは次のリンクからセキュリティアドバイザリをリリースしました。 NetBSD-SA2010-002

Novellは次のリンクでセキュリティアドバイザリをリリースしました。 7005950

OpenBSDは次のリンクでセキュリティに関するアナウンスをリリースしました： 004：セキュリティ修正： 2009年11月26日および 010：セキュリティ修正： 2009年11月26日

OpenOffice.orgは、次のリンクでセキュリティ情報をリリースしました。 CVE-2009-3555

Oracleは次のリンクでセキュリティアラートをリリースしました。 Critical Patch Update March 2010

Red Hatは次のリンクでセキュリティアドバイザリをリリースしました： RHSA-2009:1579、RHSA-2009:1580、RHSA-2010:0011、RHSA-2010:0119、RHSA-2010:0130、RHSA-20105 5、RHSA-2010:0162、RHSA-2010:0163、RHSA-2010:0164、RHSA-2010:0165、RHSA-2010:0166、RHSA-2010:0167、RHSA-2010:0 0339、RHSA-2010:0408、RHSA-2010:0440、RHSA-2010:0770、RHSA-2010:0786、RHSA-2010:0807、RHSA-2010:0986、RHSA-2010:0 987

Sunは、 273029、 273350、および 274990の各リンクでセキュリティアドバイザリを再リリースしました

Sunは次のリンクでセキュリティ通知をリリースしました。 CVE-2009-3555

US-CERTは次のリンクで脆弱性に関するノートをリリースしました。 VU#120541

VMwareは、 VMSA-2010-0015および VMSA-2010-0019の各リンクでセキュリティアドバイザリをリリースしました。

脆弱性のある製品

次の実装には脆弱性が存在します。

- バージョン0.9.8lより前のOpenSSLバージョン

- GnuTLSバージョン2.8.5以前

脆弱性を含んでいないことが確認された製品

他のシスコ製品においてこのアドバイザリの影響を受けるものは、現在確認されていません。

回避策

適切なアップデートを適用することを推奨します。

内部ネットワークを物理的に保護し、ハブではなくスイッチを使用してデータをルーティングすることを推奨します。

ファイアウォールとウイルス対策アプリケーションの両方を実行して、送受信される脅威の可能性を最小限に抑えることをお勧めします。

修正済みソフトウェア

OpenSSLは次のリンクで更新されたソフトウェアをリリースしました： openssl-0.9.8l.tar.gz

Apacheは次のリンクから更新されたソフトウェアをリリースしました： Apache HTTP Server 2.2.15

Appleは次のリンクで更新されたソフトウェアをリリースしました。

Mac OS XおよびMac OS X Server 10.6.4

セキュリティアップデート2010-001(Snow Leopard)

Mac OS X 10.6 Update 3用Java

Mac OS XおよびMac OS X Server 10.5.8

セキュリティアップデート2010-001クライアント(Leopard)

Security Update 2010-001 Server(Leopard)

Mac OS X 10.5用Java Update 8

CentOSパッケージは、 up2dateまたは yumコマンドを使用して更新できます。

F5は次のリンクで登録ユーザ向けの更新されたソフトウェアをリリースしました。 F5 Products

FreeBSDは次のHTTPリンクからパッチをリリースしています： ssl.patch

FreeBSDは次のリンクからportsコレクションの更新をリリースします。 Ports Collection Index

HPは次のリンクで更新されたソフトウェアをリリースしています。

x86

HP System Management Homepage for Linuxバージョン6.2

AMD64/EM64T

HP System Management Homepage for Linuxバージョン6.2

x86/x64

HP System Management Homepage for Windowsバージョン6.2

B.11.11 PA（32および64）

OpenSSL_A.00.09.08l.001

OpenSSL_A.00.09.08n.001_HP-UX_B.11.11_32+64.depot

Apache 2.0.59.13 PA-64-32-1111.depot

B.11.23（PAおよびIA）

OpenSSL_A.00.09.08l.002

OpenSSL_A.00.09.08n.002_HP-UX_B.11.23_IA-PA.depot

Apache 2.0.59.13 IA-PA-32-1123.depot

Apache 2.0.59.13 IA-PA-64-1123.depot

B.11.31（PAおよびIA）

OpenSSL_A.00.09.08l.003

OpenSSL_A.00.09.08n.003_HP-UX_B.11.31_IA-PA.depot

Apache 2.0.59.13 IA-PA-32-1131.depot

Apache 2.0.59.13 IA-PA-64-1131.depot

HP System Managementホームページ

v6.1.0.102以降（Windowsの場合）

v6.1.0-103以降（Linux x86用）

v6.1.0-103以降（Linux AMD64/EM64T用）

HP-UX B.11.31

JDKおよびJRE v6.0.07以降

JDKおよびJRE v5.0.20以降

SDKおよびJRE v1.4.2.25以降

JDKおよびJRE v6.0.09以降

JDKおよびJRE v5.0.21以降

HP-UX B.11.23

JDKおよびJRE v6.0.07以降

JDKおよびJRE v5.0.20以降

SDKおよびJRE v1.4.2.25以降

JDKおよびJRE v6.0.09以降

JDKおよびJRE v5.0.21以降

HP-UX B.11.11

JDKおよびJRE v6.0.07以降

JDKおよびJRE v5.0.20以降

SDKおよびJRE v1.4.2.25以降

JDKおよびJRE v6.0.09以降

JDKおよびJRE v5.0.21以降

HP Systems Insight Manager(SIM)

v6.1以降（HP-UX、Linux、Windows用）

HP ProCurve Threat Managementサービスzlモジュール

バージョンST.1.1.100430以降

CSWS_JAVA V3.2

HPは次のリンクで登録ユーザ用の更新されたソフトウェアをリリースしています。

HP Onboard Administrator 3.50

IBMは、 swg24025312および swg24006386のリンクで暫定修正をリリースしています。IBMは PK96157、 PM12247、および PM10658のリンクでAPARをリリースしました。IBM JDKのユーザーは、JSSE APAR IZ65239をインストールすることをお勧めします。IBMは、 IBM developer kits、 IBM DB2 version 9.1 Fix Pack 9、および IBM DB2 version 9.7 Fix Pack 2の各リンクでアップデートをリリースしています。

IBMは、 IBM Tivoli Endpoint Manager 8.2.1310のリンクで修正をリリースしました。

Microsoftのお客様は、セキュリティ情報のリンクを使用して直接アップデートを入手できます。これらの更新プログラムは、Windowsの自動更新機能によっても配布され、 Windows Update Webサイトで入手できます。管理者は、Microsoft Windows Server Update Services (WSUS)、Systems Management Server、およびSystem Center Configuration Managerを使用して、ソフトウェア更新プログラムを展開できます。

MontaVistaソフトウェアは、次のリンクで更新されたソフトウェアをリリースしました。

PRO 5.0

Pro 5.0.24

Mobilinux 5.0.24

MVL 5

Pro 4.0.1

CGE 4.0.1

Mobilinux 4.1

Moblinux 4.0.2

CGE 5.1

Mobilinux 5.0

Mozillaは次のリンクで更新されたソフトウェアをリリースしました。

Firefox 3.6.2

Firefox 3.5.9

Thunderbird 3.0.4

SeaMonkey 2.0.4

NetBSDは、利用可能なパッチをインストールするための手順を次のリンクでリリースしました。 NetBSD

OpenBSDは次のFTPリンクからソースコードのパッチをリリースしました： OpenBSD 4.5と OpenBSD 4.6

OpenOffice.orgは、次のリンクで更新されたバージョンをリリースしています。 OpenOffice.org 3.2.1

Oracleは、登録ユーザ向けのパッチを次のリンクでリリースしています。 Oracle

Red Hatパッケージは、 up2dateまたは yumコマンドを使用して更新できます。

Sunは次のリンクでパッチをリリースしています。

SPARC

- パッチ 119209-22以降が適用されたSolaris 8

- パッチ 119211-22以降が適用されたSolaris 9

- パッチ 119213-21以降が適用されたSolaris 10

- パッチ 125358-10以降が適用されたSun Java Enterprise System 5

- Sun Java System Web Server 7.0 update 7以降

- パッチ 125437-18以降が適用されたSun Java System Web Server 7.0

- Sun Java System Web Proxy Server 4.0.13以降

- Sun GlassFish Enterprise Server v2.1.1 with HADB - Package Based with patch 128640-15以降（有効なサポート契約をお持ちのお客様）または 141709-03以降（有効なサポート契約のないお客様）

- パッチ 128643-15以降が適用されたHADBを搭載したSun GlassFish Enterprise Server v2.1.1（有効なサポート契約をお持ちのお客様の場合）または 141700-03（有効なサポート契約をお持ちでないお客様の場合）

- パッチ 142806-02以降が適用されたSun Java System Directory Server 5.2 Patch 6

- パッチ 142807-02以降が適用されたSun Java System Directory Server Enterprise Edition 6.3.1

Intel

- パッチ 119212-22以降が適用されたSolaris 9

- パッチ 119214-21以降が適用されたSolaris 10

- パッチ 125359-10以降が適用されたSun Java Enterprise System 5

- Sun Java System Web Server 7.0 update 7以降

- パッチ 125438-18以降が適用されたSun Java System Web Server 7.0

- Sun Java System Web Proxy Server 4.0.13以降

- Sun GlassFish Enterprise Server v2.1.1 with HADB - Package Based with patch 128641-15以降（有効なサポート契約をお持ちのお客様）または 141710-03以降（有効なサポート契約のないお客様）

- パッチ 128644-15以降が適用されたHADBを搭載したSun GlassFish Enterprise Server v2.1.1（有効なサポート契約をお持ちのお客様の場合）または 141701-03（有効なサポート契約をお持ちでないお客様の場合）

- パッチ 142806-02以降が適用されたSun Java System Directory Server 5.2 Patch 6

- パッチ 142807-02以降が適用されたSun Java System Directory Server Enterprise Edition 6.3.1

Linux

- パッチ 142506-03以降を適用したSun Java Enterprise System 2005Q4およびSun Java Enterprise System 5（RHEL2.1およびRHEL3.0用）

- パッチ 121656-21以降を適用したSun Java Enterprise System 5（RHEL4.0およびRHEL5.0）

- Sun Java System Web Server 7.0 update 7以降

- パッチ 125439-16以降が適用されたSun Java System Web Server 7.0

- パッチ 119171-33以降が適用されたSun Java System Application Server 8.1

- Sun Java System Web Proxy Server 4.0.13以降

- Sun GlassFish Enterprise Server v2.1.1 with HADB - Package Based with patch 128642-15以降（有効なサポート契約をお持ちのお客様）または 141711-03以降（有効なサポート契約のないお客様）

- パッチ 128645-15以降が適用されたHADBを搭載したSun GlassFish Enterprise Server v2.1.1（有効なサポート契約をお持ちのお客様の場合）または 141702-03（有効なサポート契約をお持ちでないお客様の場合）

- パッチ 142806-02以降が適用されたSun Java System Directory Server 5.2 Patch 6

- パッチ 142807-02以降が適用されたSun Java System Directory Server Enterprise Edition 6.3.1

HP-UX

- Sun Java Enterprise System 2005Q4およびSun Java Enterprise System 5(パッチ 124379-12以降)

- Sun Java System Web Server 7.0 update 7以降

- パッチ 125440-16以降が適用されたSun Java System Web Server 7.0

- Sun Java System Web Proxy Server 4.0.13以降

- パッチ 142806-02以降が適用されたSun Java System Directory Server 5.2 Patch 6

- パッチ 142807-02以降が適用されたSun Java System Directory Server Enterprise Edition 6.3.1

Windows

- パッチ 124392-11以降が適用されたSun Java Enterprise System 2005Q4

- パッチ 125923-10 以降が適用されたSun Java Enterprise System 5

- Sun Java System Web Server 7.0 update 7以降

- パッチ 125441-18以降が適用されたSun Java System Web Server 7.0

- パッチ 119172-33以降が適用されたSun Java System Application Server 8.1

- Sun Java System Web Proxy Server 4.0.13以降

- パッチ 128646-15以降が適用されたHADBを搭載したSun GlassFish Enterprise Server v2.1.1（有効なサポート契約をお持ちのお客様の場合）または 141703-03（有効なサポート契約をお持ちでないお客様の場合）

- パッチ 142806-02以降が適用されたSun Java System Directory Server 5.2 Patch 6

- パッチ 142807-02以降が適用されたSun Java System Directory Server Enterprise Edition 6.3.1

AIX

- パッチ142806-02以降が適用されたSun Java System Directory Server 5.2 Patch 6

Sunは次のリンクで関連プラットフォーム向けのStarOffice/StarSuiteのパッチをリリース しました： CVE-2009-3555

VMwareは、次のリンクで更新されたソフトウェアをリリースしています。

ESX 3.5

ESX350-201012401-SG

ESX 4.0

ESX400-201009401-SG

ESX 4.1

ESX410-201010402-SG

不正利用事例と公式発表

Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/Cisco-SA-20091105-CVE-2009-3555

改訂履歴

バージョン

説明

セクション

ステータス

日付

1.0

初版リリース

適用外

Final

2009年11月5日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。