暗号化アルゴリズムのJava実装であるBouncy Castleに、いくつかのセキュリティの脆弱性が見つかりました。

CVE-2016-1000338 DSAは、検証時に署名のASN.1エンコーディングを完全には検証しません。署名を構成するシーケンスに余分な要素を挿入しながら、それを有効とすることが可能です。これにより、非表示のデータを署名された構造に入れ込むことができます。

CVE-2016-1000339 以前は、AESに使用されるプライマリエンジンクラスは、AESFastEngineでした。アルゴリズムで使用されるアプローチが高度なテーブル駆動型であるため、CPUのデータチャネルを監視できる場合、検索テーブルへのアクセスで、使用中のAESキーの情報が漏洩する可能性があることが判明しました。ごくわずかでしたが、AESEngineでも漏洩が発生していました。AESEngineは、漏洩の兆候を排除するように変更され、現在はBC JCEプロバイダーのプライマリAESクラスとなっています。AESFastEngineの使用は、適切であると考えられる場合にのみ推奨されるようになりました。

CVE-2016-1000341 DSA署名生成は、タイミング攻撃に対して脆弱です。署名の生成のためのタイミングを注意深く観察できる場合、ブラインディングの欠如により、攻撃者は、署名のk値、そして最終的にはプライベート値に関する情報も取得できる可能性があります。

CVE-2016-1000342 ECDSAは、検証時に署名のASN.1エンコーディングを完全には検証しません。署名を構成するシーケンスに余分な要素を挿入しながら、それを有効とすることが可能です。これにより、非表示のデータを署名された構造に入れ込むことができます。

CVE-2016-1000343 DSAキーペアジェネレーターは、デフォルト値で使用されると、弱い秘密鍵を生成します。JCAキーペアジェネレーターがDSAパラメーターで明示的に初期化されていない場合、 1.55以前のバージョンでは1024ビットの鍵サイズを想定して秘密値が生成されます。以前のリリースでは、パラメーターをキーペアジェネレーターに明示的に渡すことで対処できました。

CVE-2016-1000345 DHIES/ECIES CBCモードは、パディングオラクル攻撃に対して脆弱です。タイミングを容易に監視できる環境では、ある程度の監視を行うことで、パディングが原因でいつ復号化が失敗するかを特定できます。

CVE-2016-1000346 Bouncy Castle JCEプロバイダーで、相手方のDH公開鍵が完全に検証されません。これは、静的Diffie-Hellmanが使用されている場合に無効な鍵を使用すると相手方の秘密鍵の詳細が漏洩する可能性があるため、問題を引き起こす可能性があります。このリリースの時点で、合意の計算で鍵のパラメーターがチェックされます。

Debian 8「Jessie」では、これらの問題はバージョン1.49+dfsg-3+deb8u3で修正されました。

bouncycastleパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-1418-1: bouncycastleのセキュリティ更新

high Nessus プラグイン ID 110948

変更ログが見つかりません