リモートの Oracle Linux 6 ホストに、ELSA-2015-3022 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 0.9.8zf より前、1.0.0r より前の 1.0.0、1.0.1m より前の 1.0.1、および 1.0.2a より前の 1.0.2 の OpenSSL の crypto/ec/ec_asn1.c にある d2i_ECPrivateKey 関数に use-after-free の脆弱性があるため、リモートの攻撃者が、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こす可能性があります。また、インポート時に不適切に処理される無効な形式の楕円曲線（EC）秘密鍵ファイルにより、特定されない他の影響を及ぼす可能性があります。
    (CVE-2015-0209)

  - 0.9.8zf より前、1.0.0r より前の 1.0.0、1.0.1m より前の 1.0.1 および 1.0.2a より前の 1.0.2 の OpenSSL の crypto/asn1/a_type.c にある ASN1_TYPE_cmp 関数が、ブーリアン型の比較を正しく実行しないために、リモートの攻撃者が、サービス拒否 (無効な読み取り操作およびアプリケーションクラッシュ) を引き起こす可能性があります。これは、証明書検証機能を使用するエンドポイントに細工された X.509 証明書を使用することにより行われます。(CVE-2015-0286)

  - 0.9.8zf より前、1.0.0r より前の 1.0.0、1.0.1m より前の 1.0.1、および 1.0.2a より前の 1.0.2 の OpenSSL の crypto/asn1/tasn_dec.c にある ASN1_item_ex_d2i 関数が、CHOICE および ADB データ構造体を再初期化しないため、ASN.1 構造体の再使用に依存するアプリケーションを利用することで、攻撃者がサービス拒否 (無効な書き込み操作およびメモリ破損) を引き起こす可能性があります。(CVE-2015-0287)

  - 0.9.8zf より前、1.0.0r より前の 1.0.0、1.0.1m より前の 1.0.1、および 1.0.2a より前の 1.0.2 の OpenSSL の crypto/x509/x509_req.c にある X509_to_X509_REQ 関数により、攻撃者が、無効な証明書鍵でサービス拒否 (NULL ポインターデリファレンスおよびアプリケーションクラッシュ) を引き起こす可能性があります。(CVE-2015-0288)

  - 0.9.8zf より前、1.0.0r より前の 1.0.0、1.0.1m より前の 1.0.1、および 1.0.2a より前の 1.0.2 の OpenSSL にある PKCS#7 実装が、外部 ContentInfo がない状態を適切に処理しないために、攻撃者が、サービス拒否 (NULL ポインターデリファレンスおよびアプリケーションクラッシュ) を引き起こす可能性があります。これは、任意のデータを処理するアプリケーションを利用し、crypto/pkcs7/pk7_doit.c および crypto/pkcs7/pk7_lib.c に関連する ASN.1 エンコーディングのある無効な形式の PKCS#7 データを提供することにより行われます。(CVE-2015-0289)

  - 0.9.8za より前、1.0.0m より前の 1.0.0、1.0.1h より前の 1.0.1 の OpenSSL において、base64-decoding の実装での crypto/evp/encode.c の EVP_DecodeUpdate 関数における整数アンダーフローにより、リモートの攻撃者が、バッファオーバーフローを発生させる細工された base64 データを通じて、サービス拒否（メモリ破損）を引き起こすか、詳細不明なその他の影響を与える可能性があります。(CVE-2015-0292)

  - 0.9.8zf より前、1.0.0r より前の 1.0.0、1.0.1m より前の 1.0.1、および 1.0.2a より前の 1.0.2 の OpenSSL の SSLv2 実装により、リモートの攻撃者が、細工された CLIENT-MASTER-KEY メッセージで、サービス拒否 (s2_lib.c アサーション失敗およびデーモン終了) を引き起こす可能性があります。(CVE-2015-0293)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

無効なポインターの使用の欠陥が、OpenSSL の ASN1_TYPE_cmp() 関数で見つかりました。リモートの攻撃者が、攻撃者が供給した証明書がアプリケーションで検証される場合に、特別に細工された X.509 証明書で OpenSSL を使用する TLS/SSL クライアントまたはサーバーをクラッシュさせる可能性があります。
(CVE-2015-0286)

OpenSSL が無効な形式の Base64 エンコード入力をデコードする方法で、整数アンダーフローの欠陥が発見されています。これにより、バッファオーバーフローが引き起こされます。攻撃者が、OpenSSL デコードを使用するアプリケーションに特別に細工された Base64 エンコード入力（PEM ファイルなど）をデコードさせることができた場合、この欠陥を利用して、アプリケーションをクラッシュさせる可能性があります。転送されるデータが Base64 エンコードの処理を受けていないため、この欠陥を TLS/SSL プロトコルにより悪用することはできません。(CVE-2015-0292)

OpenSSL が SSLv2 ハンドシェイクメッセージを処理する方法で、サービス拒否の欠陥が見つかりました。SSLv2 プロトコルと EXPORT グレード暗号化パッケージの両方を有効にしている場合、リモートの攻撃者が、この欠陥を利用して、OpenSSL を使用する TLS/SSL サーバーを失敗したアサーションで終了させる可能性があります。
(CVE-2015-0293)

OpenSSL が無効な形式の楕円曲線秘密鍵をインポートする方法で use-after-free の欠陥が見つかりました。特別に細工された鍵ファイルにより、インポート時に、OpenSSL を使用するアプリケーションがクラッシュする可能性があります。(CVE-2015-0209)

OpenSSL が特定の ASN.1 構造体を再利用する方法で、領域外書き込みの欠陥が見つかりました。リモートの攻撃者が、特別に細工された ASN.1 構造体を使用する可能性があります。それをアプリケーションが解析した場合、そのアプリケーションがクラッシュします。(CVE-2015-0287)

NULL ポインターデリファレンスの欠陥が、OpenSSL の X.509 証明書処理の実装で見つかりました。特別に細工された X.509 証明書により、OpenSSL を使用するアプリケーションがその証明書を証明書リクエストに変換しようとするときに、そのアプリケーションがクラッシュする可能性があります。(CVE-2015-0288)

OpenSSL が特定の PKCS#7 入力を処理する方法で、 NULL ポインターデリファレンスが見つかっています。攻撃者が、OpenSSL を使用するアプリケーションに特別に細工された PKCS#7 入力を検証、復号、または解析させることができた場合、そのアプリケーションをクラッシュさせる可能性があります。OpenSSL を使用する TLS/SSL クライアントおよびサーバーは、この欠陥による影響を受けません。(CVE-2015-0289)

更新を有効にするには、 OpenSSL ライブラリにリンクされているすべてのサービスを再起動するか、システムを再起動する必要があります。

無効なポインターの使用の欠陥が、OpenSSL の ASN1_TYPE_cmp() 関数で見つかりました。リモートの攻撃者が、攻撃者が供給した証明書がアプリケーションで検証される場合に、特別に細工された X.509 証明書で OpenSSL を使用する TLS/SSL クライアントまたはサーバーをクラッシュさせる可能性があります。
(CVE-2015-0286)

OpenSSL が無効な形式の Base64 エンコード入力をデコードする方法で、整数アンダーフローの欠陥が発見されています。これにより、バッファオーバーフローが引き起こされます。攻撃者が、OpenSSL デコードを使用するアプリケーションに特別に細工された Base64 エンコード入力（PEM ファイルなど）をデコードさせることができた場合、この欠陥を利用して、アプリケーションをクラッシュさせる可能性があります。転送されるデータが Base64 エンコードの処理を受けていないため、この欠陥を TLS/SSL プロトコルにより悪用することはできません。(CVE-2015-0292)

OpenSSL が SSLv2 ハンドシェイクメッセージを処理する方法で、サービス拒否の欠陥が見つかりました。SSLv2 プロトコルと EXPORT グレード暗号化パッケージの両方を有効にしている場合、リモートの攻撃者が、この欠陥を利用して、OpenSSL を使用する TLS/SSL サーバーを失敗したアサーションで終了させる可能性があります。
(CVE-2015-0293)

OpenSSL が無効な形式の楕円曲線秘密鍵をインポートする方法で use-after-free の欠陥が見つかりました。特別に細工された鍵ファイルにより、インポート時に、OpenSSL を使用するアプリケーションがクラッシュする可能性があります。(CVE-2015-0209)

OpenSSL が特定の ASN.1 構造体を再利用する方法で、領域外書き込みの欠陥が見つかりました。リモートの攻撃者が、特別に細工された ASN.1 構造体を使用する可能性があります。それをアプリケーションが解析した場合、そのアプリケーションがクラッシュします。(CVE-2015-0287)

NULL ポインターデリファレンスの欠陥が、OpenSSL の X.509 証明書処理の実装で見つかりました。特別に細工された X.509 証明書により、OpenSSL を使用するアプリケーションがその証明書を証明書リクエストに変換しようとするときに、そのアプリケーションがクラッシュする可能性があります。(CVE-2015-0288)

OpenSSL が特定の PKCS#7 入力を処理する方法で、 NULL ポインターデリファレンスが見つかっています。攻撃者が、OpenSSL を使用するアプリケーションに特別に細工された PKCS#7 入力を検証、復号、または解析させることができた場合、そのアプリケーションをクラッシュさせる可能性があります。OpenSSL を使用する TLS/SSL クライアントおよびサーバーは、この欠陥による影響を受けません。(CVE-2015-0289)

この更新では以下のバグも修正されます。

- ラップされた Advanced Encryption Standard（AES）キーがパディングを必要としないとき、誤って 8 バイトでパディングされるため、データ破損および相互運用性の問題が生じる可能性があります。この更新により、RFC 5649 キーラップ実装の丸めアルゴリズムが修正されています。結果として、ラップされたキーが仕様を満たすようになり、上述の問題が防止されます。

更新を有効にするには、 OpenSSL ライブラリにリンクされているすべてのサービスを再起動するか、システムを再起動する必要があります。

Red Hat セキュリティアドバイザリ 2015:0800 から：

複数のセキュリティの問題を修正する更新済みの openssl パッケージが、Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security （TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。

エクスポートされていない RSA 暗号化パッケージを使用するときに、OpenSSL がエフェメラル RSA キーを受け入れることが判明しました。悪意あるサーバーが、 OpenSSL を使用している TLS/SSL クライアントに、より脆弱なキー交換方法を使わせる可能性があります。
(CVE-2015-0204)

OpenSSL が無効な形式の Base64 エンコード入力をデコードする方法で、整数アンダーフローの欠陥が発見されています。これにより、バッファオーバーフローが引き起こされます。攻撃者が、OpenSSL デコードを使用するアプリケーションに特別に細工された Base64 エンコード入力（PEM ファイルなど）をデコードさせることができた場合、この欠陥を利用して、アプリケーションをクラッシュさせる可能性があります。転送されるデータが Base64 エンコードの処理を受けていないため、この欠陥を TLS/SSL プロトコルにより悪用することはできません。(CVE-2015-0292)

OpenSSL が SSLv2 ハンドシェイクメッセージを処理する方法で、サービス拒否の欠陥が見つかりました。SSLv2 プロトコルと EXPORT グレード暗号化パッケージの両方を有効にしている場合、リモートの攻撃者が、この欠陥を利用して、OpenSSL を使用する TLS/SSL サーバーを失敗したアサーションで終了させる可能性があります。
(CVE-2015-0293)

OpenSSL が X.509 証明書を解析する方法に、複数の欠陥が見つかりました。攻撃者が、これらの欠陥を利用して、 X.509 証明書を改竄することにより、署名を取り消さずに別の指紋が付いた証明書を作り出したり、アプリケーションで指紋ベースのブラックリストをバイパスしたりする可能性があります。(CVE-2014-8275)

OpenSSL が特定の ASN.1 構造体を再利用する方法で、領域外書き込みの欠陥が見つかりました。リモートの攻撃者が、特別に細工された ASN.1 構造体を使用する可能性があります。それをアプリケーションが解析した場合、そのアプリケーションがクラッシュします。(CVE-2015-0287)

NULL ポインターデリファレンスの欠陥が、OpenSSL の X.509 証明書処理の実装で見つかりました。特別に細工された X.509 証明書により、OpenSSL を使用するアプリケーションがその証明書を証明書リクエストに変換しようとするときに、そのアプリケーションがクラッシュする可能性があります。(CVE-2015-0288)

OpenSSL が特定の PKCS#7 入力を処理する方法で、 NULL ポインターデリファレンスが見つかっています。攻撃者が、OpenSSL を使用するアプリケーションに特別に細工された PKCS#7 入力を検証、復号、または解析させることができた場合、そのアプリケーションをクラッシュさせる可能性があります。OpenSSL を使用する TLS/SSL クライアントおよびサーバーは、この欠陥による影響を受けません。(CVE-2015-0289)

Red Hat は、CVE-2015-0287、CVE-2015-0288、CVE-2015-0289、CVE-2015-0292、および CVE-2015-0293 を報告してくれた OpenSSL プロジェクトに感謝の意を表します。Upstream は、OpenSSL 開発チームの Emilia Käsper 氏を CVE-2015-0287 の最初の報告者として、Brian Carpenter 氏を CVE-2015-0288 の最初の報告者として、Google の Michal Zalewski 氏を CVE-2015-0289 の最初の報告者として、Robert Dugal 氏および David Ramos 氏を CVE-2015-0292 の最初の報告者として、Google の Sean Burford 氏および OpenSSL 開発チームの Emilia Käsper 氏を CVE-2015-0293 の最初の報告者として認めます。。

openssl の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。更新を有効にするには、 OpenSSL ライブラリにリンクされているすべてのサービスを再起動するか、システムを再起動する必要があります。

複数のセキュリティの問題を修正する更新済みの openssl パッケージが、Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security （TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。

エクスポートされていない RSA 暗号化パッケージを使用するときに、OpenSSL がエフェメラル RSA キーを受け入れることが判明しました。悪意あるサーバーが、 OpenSSL を使用している TLS/SSL クライアントに、より脆弱なキー交換方法を使わせる可能性があります。
(CVE-2015-0204)

OpenSSL が無効な形式の Base64 エンコード入力をデコードする方法で、整数アンダーフローの欠陥が発見されています。これにより、バッファオーバーフローが引き起こされます。攻撃者が、OpenSSL デコードを使用するアプリケーションに特別に細工された Base64 エンコード入力（PEM ファイルなど）をデコードさせることができた場合、この欠陥を利用して、アプリケーションをクラッシュさせる可能性があります。転送されるデータが Base64 エンコードの処理を受けていないため、この欠陥を TLS/SSL プロトコルにより悪用することはできません。(CVE-2015-0292)

OpenSSL が SSLv2 ハンドシェイクメッセージを処理する方法で、サービス拒否の欠陥が見つかりました。SSLv2 プロトコルと EXPORT グレード暗号化パッケージの両方を有効にしている場合、リモートの攻撃者が、この欠陥を利用して、OpenSSL を使用する TLS/SSL サーバーを失敗したアサーションで終了させる可能性があります。
(CVE-2015-0293)

OpenSSL が X.509 証明書を解析する方法に、複数の欠陥が見つかりました。攻撃者が、これらの欠陥を利用して、 X.509 証明書を改竄することにより、署名を取り消さずに別の指紋が付いた証明書を作り出したり、アプリケーションで指紋ベースのブラックリストをバイパスしたりする可能性があります。(CVE-2014-8275)

OpenSSL が特定の ASN.1 構造体を再利用する方法で、領域外書き込みの欠陥が見つかりました。リモートの攻撃者が、特別に細工された ASN.1 構造体を使用する可能性があります。それをアプリケーションが解析した場合、そのアプリケーションがクラッシュします。(CVE-2015-0287)

NULL ポインターデリファレンスの欠陥が、OpenSSL の X.509 証明書処理の実装で見つかりました。特別に細工された X.509 証明書により、OpenSSL を使用するアプリケーションがその証明書を証明書リクエストに変換しようとするときに、そのアプリケーションがクラッシュする可能性があります。(CVE-2015-0288)

OpenSSL が特定の PKCS#7 入力を処理する方法で、 NULL ポインターデリファレンスが見つかっています。攻撃者が、OpenSSL を使用するアプリケーションに特別に細工された PKCS#7 入力を検証、復号、または解析させることができた場合、そのアプリケーションをクラッシュさせる可能性があります。OpenSSL を使用する TLS/SSL クライアントおよびサーバーは、この欠陥による影響を受けません。(CVE-2015-0289)

Red Hat は、CVE-2015-0287、CVE-2015-0288、CVE-2015-0289、CVE-2015-0292、および CVE-2015-0293 を報告してくれた OpenSSL プロジェクトに感謝の意を表します。Upstream は、OpenSSL 開発チームの Emilia Käsper 氏を CVE-2015-0287 の最初の報告者として、Brian Carpenter 氏を CVE-2015-0288 の最初の報告者として、Google の Michal Zalewski 氏を CVE-2015-0289 の最初の報告者として、Robert Dugal 氏および David Ramos 氏を CVE-2015-0292 の最初の報告者として、Google の Sean Burford 氏および OpenSSL 開発チームの Emilia Käsper 氏を CVE-2015-0293 の最初の報告者として認めます。。

openssl の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。更新を有効にするには、 OpenSSL ライブラリにリンクされているすべてのサービスを再起動するか、システムを再起動する必要があります。

OpenSSL に複数の脆弱性が発見され、修正されました。

1.0.1g までの OpenSSL の s3_pkt.c の ssl3_read_bytes 関数にある競合状態により、SSL_MODE_RELEASE_BUFFERS が有効である場合、マルチスレッド環境の SSL 接続を通じて、リモートの攻撃者がセッションをまたいでデータを挿入したり、サービス拒否（use-after-free および解析エラー）を引き起こしたりすることが可能です（CVE-2010-5298）。

1.0.0l までの OpenSSL での Montgomery ladder 実装では、特定のスワップ操作での一定時間の動作が保証されません。これにより、ローカルユーザーは、FLUSH+RELOAD キャッシュサイドチャネル攻撃を介して、 ECDSA nonce をより簡単に取得できます（CVE-2014-0076）。

1.0.1g より前の OpenSSL 1.0.1 の (1) TLS および (2) DTLS の実装が、ハートビート拡張パケットを適切に処理しません。これにより、リモートの攻撃者が、バッファオーバーリードを発生させるように細工されたパケットを介してプロセスメモリから機密情報を入手できます。これは、秘密鍵を読み取ることにより実証され、d1_both.c と t1_lib.c（別名：ハートブリードバグ）の両方に関連しています（CVE-2014-0160）。

0.9.8za より前、1.0.0m より前の 1.0.0、および 1.0.1h より前の 1.0.1 の OpenSSL で、 d1_both.c の dtls1_reassemble_fragment 関数が、 DTLS ClientHello メッセージのフラグメントの長さを正しく検証しません。このため、リモートの攻撃者が、任意のコードを実行したり、長い非初期フラグメントを通じてサービス拒否（バッファオーバーフローおよびアプリケーションクラッシュ）を引き起こしたりする可能性があります（CVE-2014-0195）。

1.0.1g までの OpenSSL 1.x の s3_pkt.c にある do_ssl3_write 関数は、SSL_MODE_RELEASE_BUFFERS が有効である場合に、特定の再帰呼び出し中にバッファポインターを適切に管理しません。これにより、アラート状態を発生させるベクトルを通じて、リモートの攻撃者がサービス拒否（NULL ポインターデリファレンスとアプリケーションクラッシュ）を引き起こすことが可能です（CVE-2014-0198）。

0.9.8za より前、1.0.0m より前の 1.0.0 および 1.0.1h より前の1.0.1 の OpenSSL で、 d1_both.c の dtls1_get_message_fragment 関数により、リモートの攻撃者が、無効な DTLS ハンドシェイクの DTLS hello メッセージで、サービス拒否（再帰およびクライアントのクラッシュ）を引き起こす可能性があります（CVE-2014-0221）。

0.9.8za より前、1.0.0m より前の 1.0.0、および 1.0.1h より前の 1.0.1 の OpenSSL は、 ChangeCipherSpec メッセージの処理を適切に制限ません。このため、中間者攻撃者が、特定の OpenSSL 間通信でゼロレングスマスターキーの使用を引き起こし、その結果、細工された TLS ハンドシェイク（CCS インジェクションの脆弱性とも呼ぶ）を利用して、セッションをハイジャックしたり、機密情報を入手する可能性があります（CVE-2014-0224）。

匿名の ECDH 暗号化パッケージを使用する際、0.9.8za より前、 1.0.0m より前の 1.0.0 および 1.0.1h より前の 1.0.1 の OpenSSL の s3_clnt.c の ssl3_send_client_key_exchange 関数により、リモートの攻撃者が、 NULL 証明書値を引き起こすることを通じて、サービス拒否（NULL ポインターデリファレンスおよびクライアントのクラッシュ）を引き起こす可能性があります（CVE-2014-3470）。

1.0.1j 以前の OpenSSL 1.0.1 において、DTLS SRTP 拡張の d1_srtp.c にあるメモリ漏洩により、リモートの攻撃者が、細工されたハンドシェイクメッセージを介してサービス拒否（メモリの消費）を引き起こすことができます（CVE-2014-3513）。

1.0.1i までの OpenSSL およびその他の製品で使用される SSL プロトコル 3.0 は、非決定性の CBC パディングを使用します。これにより、中間者攻撃の攻撃者が、パディングオラクル攻撃（別名「POODLE」問題）を通じて平文データを簡単に取得できるようになります（CVE-2014-3566）。

0.9.8zc 以前、1.0.0o 以前の 1.0.0、および 1.0.1j 以前の 1.0.1 の OpenSSL において、t1_lib.c にある tls_decrypt_ticket 関数のメモリリークによって、リモートの攻撃者が、整合性チェックエラーを発生させるように細工されたセッションチケットを通してサービス拒否（メモリの消費）を引き起こすことができます（CVE-2014-3567）。

OpenSSL 0.9.8zc、1.0.0o、および 1.0.1j において、 s23_srvr.c 内の ssl23_get_client_hello 関数は、サポートされていないプロトコルを利用しようとする試みを適切に処理していません。これにより、リモートの攻撃者は、予期しないハンドシェイクを通じて、サービス拒否（NULL ポインターデリファレンスとデーモンクラッシュ）を引き起こすことができます。このことは、ある特定のエラー処理での、 no-ssl3 アプリケーションへの SSLv3 ハンドシェイクで実証されています。注：この問題は、CVE-2014-3568 の修正後に関連性を持つようになりました（CVE-2014-3569）。

0.9.8zd 以前、1.0.0p 以前の 1.0.0、および 1.0.1k 以前の 1.0.1 の OpenSSL における BN_sqr 実装では、BIGNUM 値の平方を適切に計算しません。これにより、不特定のベクトルを介して、リモートの攻撃者が暗号保護メカニズムを簡単に破る可能性があります。これは、crypto/bn/asm/mips.pl、crypto/bn/asm/x86_64-gcc.c、および crypto/bn/bn_asm.c に関連しています（CVE-2014-3570）。

0.9.8zd より前、1.0.0p より前の 1.0.0、および 1.0.1k より前の 1.0.1 の OpenSSL により、ハンドシェイク本体用とは異なるハンドシェイクヘッダー用の読み取り操作で処理される、細工された DTLS メッセージを通じて、リモートの攻撃者はサービス拒否（NULL ポインターデリファレンスとアプリケーションクラッシュ）を引き起こすことができます。これは、d1_pkt.c の dtls1_get_record 関数および s3_pkt.c の ssl3_read_n 関数に関連しています（CVE-2014-3571）。

0.9.8zd より前、1.0.0p より前の 1.0.0、および 1.0.1k より前の 1.0.1 の OpenSSL の s3_clnt.c にある ssl3_get_key_exchange 関数により、リモートの SSL サーバーは ECDHE-to-ECDH ダウングレード攻撃を仕掛けることができ、ServerKeyExchange メッセージを省略することで前方秘匿性の消失を誘発できます（CVE-2014-3572）。

0.9.8zd 以前、1.0.0p 以前の 1.0.0、および 1.0.1k 以前の 1.0.1 の OpenSSL は、証明書データに特定の制約を強制しません。これにより、リモートの攻撃者は、証明書の署名のない部分に細工されたデータを含めることで、指紋ベースの証明書ブラックリスト保護メカニズムを破ることができます。これは、crypto/asn1/a_verify.c、crypto/dsa/dsa_asn1.c、crypto/ecdsa/ecs_vrf.c、および crypto/x509/x_all.c に関連しています（CVE-2014-8275）。

0.9.8zd より前、1.0.0p より前の 1.0.0、および 1.0.1k より前の 1.0.1 の OpenSSL において、s3_clnt.c の ssl3_get_key_exchange 関数により、リモートの SSL サーバーが、RSA-to-EXPORT_RSA ダウングレード攻撃を仕掛ける可能性があります。また、FREAK の問題に関連して、役割を順守しない脆弱で一時的な RSA キーを提示することにより、ブルートフォース暗号解読が助長される可能性があります。注：この CVE は、OpenSSL に基づくクライアントコードのみを網羅するものであり、サーバーまたはその他の TLS 実装に関連する EXPORT_RSA の問題は網羅しません（CVE-2015-0204）。

1.0.0p より前の 1.0.0 および 1.0.1k より前の 1.0.1 の OpenSSL において、s3_srvr.c にある ssl3_get_cert_verify 関数は、CertificateVerify メッセージを必要とせずに、ディフィー・ヘルマン（DH）証明書でのクライアント認証を受け入れます。これにより、リモートの攻撃者は、秘密鍵の知識がなくても、細工した TLS ハンドシェイクプロトコルのトラフィックを通じて、DH の支援により証明機関を認識するサーバーにアクセスできます（CVE-2015-0205）。

1.0.0p 以前の 1.0.0、および 1.0.1k 以前の 1.0.1 の OpenSSL では、d1_pkt.c の dtls1_buffer_record 関数のメモリ漏洩によって、リモートの攻撃者は、次のエポックに対して多数の重複レコードを送信することで、サービス拒否（メモリ消費）を引き起こすことができ、リプレイ検出の失敗につながります（CVE-2015-0206）。

0.9.8zf より前、1.0.0r より前の 1.0.0、1.0.1m より前の 1.0.1、および 1.0.2a より前の 1.0.2 の OpenSSL の crypto/ec/ec_asn1.c にある d2i_ECPrivateKey 関数に use-after-free の脆弱性があるため、リモートの攻撃者が、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こす可能性があります。また、インポート時に不適切に処理される無効な形式の楕円曲線（EC）秘密鍵ファイルにより、特定されない他の影響を及ぼす可能性があります（CVE-2015-0209）。

0.9.8zf より前、1.0.0r より前の 1.0.0、1.0.1m より前の 1.0.1 および 1.0.2a より前の 1.0.2 の OpenSSL の crypto/asn1/a_type.c にある ASN1_TYPE_cmp 関数が、ブーリアン型の比較を正しく実行しないために、リモートの攻撃者が、サービス拒否（無効な読み取り操作およびアプリケーションクラッシュ）を引き起こす可能性があります。これは、証明書検証機能を使用するエンドポイントに細工された X.509 証明書を使用することにより、行われます（CVE-2015-0286）。

0.9.8zf より前、1.0.0r より前の 1.0.0、1.0.1m より前の 1.0.1、および 1.0.2a より前の 1.0.2 の OpenSSL の crypto/asn1/tasn_dec.c にある ASN1_item_ex_d2i 関数が、CHOICE および ADB データ構造体を再初期化しないため、ASN.1 構造体の再使用に依存するアプリケーションを利用することで、攻撃者がサービス拒否（無効な書き込み操作およびメモリ破損）を引き起こす可能性があります（CVE-2015-0287）。

0.9.8zf より前、1.0.0r より前の 1.0.0、1.0.1m より前の 1.0.1、および 1.0.2a より前の 1.0.2 の OpenSSL の crypto/x509/x509_req.c にある X509_to_X509_REQ 関数により、攻撃者が、無効な証明書鍵でサービス拒否（NULL ポインターデリファレンスおよびアプリケーションクラッシュ）を引き起こす可能性があります（CVE-2015-0288）。

0.9.8zf より前、1.0.0r より前の 1.0.0、1.0.1m より前の 1.0.1、および 1.0.2a より前の 1.0.2a の OpenSSL にある PKCS#7 実装が、外部 ContentInfo がない状態を適切に処理しないために、攻撃者が、サービス拒否（NULL ポインターデリファレンスおよびアプリケーションクラッシュ）を引き起こす可能性があります。これは、任意の PKCS#7 データを処理するアプリケーションを利用し、 crypto/pkcs7/pk7_doit.c および crypto/pkcs7/pk7_lib.c に関連する ASN.1 エンコーディングのある無効な形式のデータを提供することにより行われます（CVE-2015-0289）。

0.9.8zf より前、1.0.0r より前の 1.0.0、1.0.1m より前の 1.0.1、および 1.0.2a より前の 1.0.2 の OpenSSL の SSLv2 実装により、リモートの攻撃者が、細工された CLIENT-MASTER-KEY メッセージで、サービス拒否（s2_lib.c アサーション失敗およびデーモン終了）を引き起こす可能性があります（CVE-2015-0293）。

更新済みパッケージが、これらのセキュリティ上の欠陥が修正された 1.0.1m バージョンにアップグレードされています。

OpenSSL プロジェクトによる報告：

- 再分類化：RSA により、サイレントに EXPORT_RSA にダウングレードされます [クライアント]（CVE-2015-0204）。OpenSSL のみ。

ASN1_TYPE_cmp でのセグメンテーション違反（CVE-2015-0286）

- ASN.1 構造体の再使用のメモリ破損（CVE-2015-0287）

- PKCS7 NULL ポインターデリファレンス（CVE-2015-0289）

- Base64 デコード（CVE-2015-0292）。OpenSSL のみ。

- SSLv2 サーバーの到達可能アサーションによる DoS（CVE-2015-0293）。OpenSSL のみ。

- d2i_ECPrivatekey エラーの後に発生する use-after-free（CVE-2015-0209）

- X509_to_X509_REQ NULL ポインターデリファレンス（CVE-2015-0288）

libressl が、16 件のセキュリティの問題を修正するためにバージョン 2.2.1 に更新されました。

LibreSSL は、OpenSSL の fork（フォーク）です。このために、OpenSSL に影響する CVE は、LibreSSL にも影響します。

これらのセキュリティの問題が修正されました：

- CVE-2014-3570：0.9.8zd 以前、1.0.0p 以前の 1.0.0、および 1.0.1k 以前の 1.0.1 の OpenSSL の BN_sqr 実装では、BIGNUM 値の平方を適切に計算しないため、詳細不明のベクトルを介して、リモートの攻撃者が暗号保護機構を容易に破る可能性がありました。これは、crypto/bn/asm/mips.pl、crypto/bn/asm/x86_64-gcc.c、および crypto/bn/bn_asm.c に関係します（bsc#912296）。

- CVE-2014-3572：0.9.8zd より前、1.0.0p より前の 1.0.0、および 1.0.1k より前の 1.0.1 の OpenSSL において、s3_clnt.c 内の ssl3_get_key_exchange 関数により、リモートの SSL サーバーは、ECDHE-to-ECDH ダウングレード攻撃を仕掛けることができ、ServerKeyExchange メッセージを省略することで、forward secrecy の消失を誘発できました（bsc#912015）。

- CVE-2015-1792：0.9.8zg 以前、1.0.0s 以前の 1.0.0、1.0.1n 以前の 1.0.1、および 1.0.2b 以前の 1.0.2 の OpenSSL の crypto/cms/cms_smime.c の中の do_free_upto 関数のために、リモートの攻撃者が BIO データ構造体の NULL 値を発生させるベクトルを介して、サービス拒否（無限ループ）を引き起こすことが可能でした。これは、ハッシュ関数用の認識されない X.660 OID で実証されています（bsc#934493）。

- CVE-2014-8275：0.9.8zd 以前、1.0.0p 以前の 1.0.0、および 1.0.1k 以前の 1.0.1 の OpenSSL では、証明書データに特定の制約を強制しないために、証明書の署名のない部分に細工されたデータを含めることで、リモートの攻撃者が指紋ベースの証明書ブラックリスト保護機構を破ることが可能でした。これは、crypto/asn1/a_verify.c、crypto/dsa/dsa_asn1.c、crypto/ecdsa/ecs_vrf.c、および crypto/x509/x_all.c に関係します（bsc#912018）。

- CVE-2015-0209：0.9.8zf より前、1.0.0r より前の 1.0.0、1.0.1m より前の 1.0.1、および 1.0.2a より前の 1.0.2 の OpenSSL の crypto/ec/ec_asn1.c にある d2i_ECPrivateKey 関数に use-after-free の脆弱性があるため、リモートの攻撃者が、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こす可能性がありました。また、インポート時に不適切に処理される無効な形式の楕円曲線（EC）秘密鍵ファイルにより、特定されない他の影響を及ぼす可能性がありました（bsc#919648）。

- CVE-2015-1789：0.9.8zg 以前、1.0.0s 以前の 1.0.0、1.0.1n 以前の 1.0.1、および 1.0.2b 以前の 1.0.2 の OpenSSL の crypto/x509/x509_vfy.c の X509_cmp_time 関数のために、リモートの攻撃者が ASN1_TIME データの中の細工された長さフィールドを介して、サービス拒否（領域外読み取りおよびアプリケーションクラッシュ）を引き起こすことが可能でした。これは、カスタム検証コールバックによるクライアント認証をサポートするサーバーに対する攻撃により実証されています（bsc#934489）。

- CVE-2015-1788：0.9.8s 以前、1.0.0e 以前の 1.0.0、1.0.1n 以前の 1.0.1、および 1.0.2b 以前の 1.0.2 の OpenSSL の crypto/bn/bn_gf2m.c の中の BN_GF2m_mod_inv 関数が、曲線が無効な形式のバイナリ多項式フィールドを超える、ECParameters 構造体を適切に処理しないために、リモートの攻撃者が楕円曲線アルゴリズムを使用するセッションを介して、サービス拒否（無限ループ）を引き起こすことが可能でした。これは、クライアント認証をサポートするサーバーに対する攻撃により実証されています（bsc#934487）。

- CVE-2015-1790：0.9.8zg 以前、1.0.0s 以前の 1.0.0、1.0.1n 以前の 1.0.1、および 1.0.2b 以前の 1.0.2 の OpenSSL の crypto/pkcs7/pk7_doit.c にある PKCS7_dataDecode 関数により、リモートの攻撃者が、ASN.1 エンコーディングを使用し内部 EncryptedContent データを欠いている PKCS#7 ブロブを介して、サービス拒否（NULL ポインターデリファレンスおよびアプリケーションクラッシュ）を引き起こすことが可能でした（bsc#934491）。

- CVE-2015-0287：0.9.8zf より前、1.0.0r より前の 1.0.0、1.0.1m より前の 1.0.1、および 1.0.2a より前の 1.0.2 の OpenSSL の crypto/asn1/tasn_dec.c にある ASN1_item_ex_d2i 関数が、CHOICE および ADB データ構造体を再初期化しないため、ASN.1 構造体の再使用に依存するアプリケーションを利用することで、攻撃者がサービス拒否（無効な書き込み操作およびメモリ破損）を引き起こす可能性がありました（bsc#922499）。

- CVE-2015-0286：0.9.8zf より前、1.0.0r より前の 1.0.0、1.0.1m より前の 1.0.1 および 1.0.2a より前の 1.0.2 の OpenSSL の crypto/asn1/a_type.c にある ASN1_TYPE_cmp 関数が、ブーリアン型の比較を正しく実行しないために、リモートの攻撃者が、証明書検証機能を使用するエンドポイントに細工された X.509 証明書を使用することを介して、サービス拒否（無効な読み取り操作およびアプリケーションクラッシュ）を引き起こすことが可能でした。（bsc#922496）。

- CVE-2015-0289：0.9.8zf より前、1.0.0r より前の 1.0.0、1.0.1m より前の 1.0.1、および 1.0.2a より前の 1.0.2a の OpenSSL にある PKCS#7 実装が、外部 ContentInfo がない状態を適切に処理しないために、攻撃者が、サービス拒否（NULL ポインターデリファレンスおよびアプリケーションクラッシュ）を引き起こすことが可能でした。これは、任意の PKCS#7 データを処理するアプリケーションを利用し、crypto/pkcs7/pk7_doit.c および crypto/pkcs7/pk7_lib.c に関連する ASN.1 エンコーディングのある無効な形式のデータを提供することにより行われました（bsc#922500）。

- CVE-2015-0288：0.9.8zf より前、1.0.0r より前の 1.0.0、1.0.1m より前の 1.0.1、および 1.0.2a より前の 1.0.2 の OpenSSL の crypto/x509/x509_req.c にある X509_to_X509_REQ 関数により、攻撃者が、無効な証明書鍵でサービス拒否（NULL ポインターデリファレンスおよびアプリケーションクラッシュ）を引き起こす可能性がありました（bsc#920236）。

- CVE-2014-8176：0.9.8za より前、1.0.0m より前の 1.0.0、および 1.0.1h より前の 1.0.1 の OpenSSL の ssl/d1_lib.c の dtls1_clear_queues 関数が、アプリケーションデータが ChangeCipherSpec メッセージと Finished メッセージの間に到着しうることを考慮せずに、データ構造体を解放するために、リモートの DTLS ピアが予期されないアプリケーションデータを介して、サービス拒否（メモリ破損およびアプリケーションクラッシュ）を引き起こしたり、おそらくは詳細不明のその他の影響を及ぼす可能性があります（bsc#934494）。

- CVE-2015-4000：TLS プロトコル 1.2 以前は、DHE_EXPORT 暗号スイートがサーバーで有効で、しかしクライアントでは有効でない場合、 DHE_EXPORT の選択を適切に伝送しませんでした。これにより、中間者攻撃者が、DHE を DHE_EXPORT に置換することで ClientHello を書き換え、続いて DHE_EXPORT を DHE に置換することで ServerHello を書き換えることによって、暗号ダウングレード攻撃を仕掛けることが可能でした。これは、「Logjam」問題として知られています（bsc#931600）。

- CVE-2015-0205：1.0.0p より前の 1.0.0 および 1.0.1k より前の 1.0.1 の OpenSSL において、s3_srvr.c 内の ssl3_get_cert_verify 関数は、CertificateVerify メッセージを要求せずに、Diffie-Hellman（DH）証明書を伴うクライアント認証を受理しました。これにより、リモートの攻撃者は、秘密鍵の情報がなくても、細工された TLS ハンドシェイクプロトコルのトラフィックを通じて、DH のサポートにより証明機関を認識するサーバーに、アクセスできるようになりました（bsc#912293）。

- CVE-2015-0206：1.0.0p 以前の 1.0.0、および 1.0.1k 以前の 1.0.1 の OpenSSL において、d1_pkt.c の dtls1_buffer_record 関数のメモリリークのために、次のエポック用の多くの重複レコードを送信することで、再生検出の失敗を引き起こし、リモートの攻撃者がサービス拒否（メモリ消費）を引き起こすことが可能でした（bsc#912292）。

自己報告されたバージョン番号によると、リモートホストでリスニングする Apache Tomcat サーバーは、8.0.21 より前の 8.0.x です。したがって、次の脆弱性の影響を受けます：

- SSLv3 オプションが有効ではなく、SSLv3 ClientHello を受信する場合、NULL ポインターデリファレンスの欠陥が存在します。これにより、リモートの攻撃者は、予期しないハンドシェイクを使用して、デーモンをクラッシュさせることができ、その結果、サービス拒否を引き起こします。(CVE-2014-3569)

- BIGNUM 二乗計算（BN_sqr）の実装で、 BIGNUM 値の二乗が適切に計算されていません。これにより、リモートの攻撃者は、暗号保護のメカニズムを打ち破ることができます。(CVE-2014-3570)

- DTLS メッセージを処理する際に、dtls1_get_record() に NULL ポインターデリファレンスの欠陥が存在します。リモートの攻撃者が、特別に細工された DTLS メッセージを使用することにより、サービス拒否を引き起こす可能性があります。(CVE-2014-3571)

- ServerKeyExchange メッセージなしで ECDSA 証明書を使用するときの ECDH ハンドシェイクに欠陥が存在します。これにより、リモートの攻撃者は、暗号スイートから forward secrecy の消失を誘発できます。(CVE-2014-3572)

- 証明書の署名アルゴリズムや署名エンコーディングのような、DER 以外の多様性を受け入れる場合、署名済み箇所と未署名箇所の間で照合が確実に行われていないため、欠陥が存在します。リモートの攻撃者は、細工したデータを証明書の未署名箇所に埋め込むことで、指紋ベースの証明書ブラックリストでの保護メカニズムをバイパスすることができます。(CVE-2014-8275)

- FREAK（RSA-EXPORT キーに対するファクター攻撃）と呼ばれるセキュリティ機能のバイパスの脆弱性が存在します。これは、512 ビッド以下のキーで弱い EXPORT_RSA 暗号化パッケージがサポートされているため、存在します。中間者攻撃により、EXPORT_RSA 暗号化パッケージを使用するように SSL/TLS 接続をダウングレードすることができ、これは短時間でファクタリング可能であり、攻撃者がトラフィックを傍受したり復号したりするおそれがあります。(CVE-2015-0204)

- CertificateVerify メッセージのないクライアント認証の場合、 DH 証明書を受け取る際に、欠陥が存在します。
 これにより、リモートの攻撃者は、秘密鍵がなくてもサービスを認証することができます。(CVE-2015-0205)

- 次のエポックに対しても同じ数列を含む DTLS レコードの飽和を処理する際に dtls1_buffer_record() でメモリ漏洩が発生します。これにより、リモートの攻撃者が、サービス拒否を引き起こす可能性があります。
 (CVE-2015-0206)

- インポート中の無効な形式の EC 秘密鍵の処理が不適切なために、d2i_ECPrivateKey() 関数に use-after-free の状態が存在しています。リモートの攻撃者が、これを利用して、すでに解放されているメモリを逆参照または解放することで、サービス拒否または他の特定されない影響を及ぼす可能性があります。(CVE-2015-0209)

- ブーリアン型比較の実行が不適切に実行されているため、無効な読み取りの欠陥が ASN1_TYPE_cmp() 関数に存在しています。リモートの攻撃者が、これを悪用して、証明書検証機能を使用するエンドポイントに対する細工された X.509 証明書を使用することにより、無効な読み取り動作を引き起こし、サービス拒否を引き起こす可能性があります。
 (CVE-2015-0286)

- ASN.1 解析で構造体を再利用するときに、「CHOICE」および「ADB」のデータ構造体を再初期化できないため、ASN1_item_ex_d2i() 関数に欠陥が存在しています。
 これにより、リモートの攻撃者が、無効な書き込み操作およびメモリ破損を引き起こし、サービス拒否を引き起こす可能性があります。(CVE-2015-0287)

- 証明書鍵の処理が不適切なために、NULL ポインターデリファレンスの欠陥が、X509_to_X509_REQ() 関数に存在します。これにより、リモートの攻撃者が、細工された X.509 証明書でサービス拒否を引き起こす可能性があります。(CVE-2015-0288)

- 外側の ContentInfo 情報が存在しないことに対する処理が正しくないため、 PKCS#7 解析コードに NULL ポインターデリファレンスの欠陥が存在しています。このため、リモートの攻撃者が、任意の PKCS#7 データを処理するアプリケーションを使用し、ASN.1 エンコーディングのある無効な形式のデータを提供することにより、サービス拒否を引き起こす可能性があります。(CVE-2015-0289)

- SSLv2 の実装が不適切なために、SSLv2 をサポートし、エクスポート暗号化パッケージを有効にしているサーバーに欠陥が存在します。リモートの攻撃者が、細工された CLIENT-MASTER-KEY メッセージで、これを悪用し、サービス拒否状態を引き起こす可能性があります。(CVE-2015-0293)

Nessus はこれらの問題の悪用を試みていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
181036	Oracle Linux 6：openssl-fips (ELSA-2015-3022)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	critical
82265	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の openssl	Nessus	Scientific Linux Local Security Checks	2015/3/26	2021/1/14	high
82266	Scientific Linux セキュリティ更新：SL7.x x86_64 の openssl	Nessus	Scientific Linux Local Security Checks	2015/3/26	2021/1/14	high
82757	Oracle Linux 5：openssl（ELSA-2015-0800）（FREAK）	Nessus	Oracle Linux Local Security Checks	2015/4/14	2021/1/14	medium
82758	RHEL 5：openssl（RHSA-2015:0800）（FREAK）	Nessus	Red Hat Local Security Checks	2015/4/14	2019/10/24	medium
82315	Mandriva Linux セキュリティアドバイザリ：openssl（MDVSA-2015:062）	Nessus	Mandriva Local Security Checks	2015/3/30	2022/5/5	high
81962	FreeBSD：OpenSSL -- 複数の脆弱性（9d15355b-ce7c-11e4-9db0-d050992ecde8）（FREAK）	Nessus	FreeBSD Local Security Checks	2015/3/20	2021/1/6	high
84998	openSUSE セキュリティ更新：libressl（openSUSE-2015-507）（Logjam）	Nessus	SuSE Local Security Checks	2015/7/27	2022/12/5	high
83527	Apache Tomcat 8.0.x < 8.0.21 複数の脆弱性（FREAK）	Nessus	Web Servers	2015/5/19	2024/5/6	high

検出

プラグインの検索

critical

high

high

medium

medium

high

high

high

high