【注意喚起】OpenSSLの脆弱性（CVE-2021-3711、CVE-2021-3712）に関する注意喚起
※情報が更新されている可能性がありますので、最新情報は以下を参照ください。
https://www.jpcert.or.jp/at/2021/at210036.html
引用元: JPCERTコーディネーションセンター 注意喚起
OpenSSLの脆弱性（CVE-2021-3711、CVE-2021-3712）に関する注意喚起 がありました。
I. 概要
2021年8月24日（現地時間）、OpenSSL ProjectからOpenSSLの脆弱性（CVE-2021-3711、CVE-2021-3712）に関する情報が公開されました。
重要度「High」とされる脆弱性（CVE-2021-3711）は、暗号化アルゴリズム「SM2」の復号処理の実装における脆弱性で、「SM2」で暗号化されたデータを復号するAPI関数を呼び出す際にバッファオーバーフローが発生する可能性があります。脆弱性を悪用する細工されたSM2データが渡されると、OpenSSLを実行しているアプリケーションの動作が変更されたり、サービス運用妨害（DoS）攻撃が行われたりする可能性があります。
重要度「Medium」とされる脆弱性（CVE-2021-3712）は、「ASN.1」形式の文字列処理におけるバッファーオーバーランの脆弱性で、脆弱性が悪用されると、メモリ上の機微な情報が読み取られたり、サービス運用妨害（DoS）攻撃が行われる可能性があります。
脆弱性の詳細については、OpenSSL Projectの情報を確認してください。
OpenSSL Project
OpenSSL Security Advisory [24 August 2021]
https://www.openssl.org/news/secadv/20210824.txt
対象となるバージョンを使用している場合には、「III. 対策」を参考に、早期の対応を行うことを強く推奨します。
II. 対象
対象となるバージョンは次のとおりです。
CVE-2021-3711
- OpenSSL 1.1.1kおよびそれ以前の1.1.1系のバージョン
CVE-2021-3712
- OpenSSL 1.1.1kおよびそれ以前の1.1.1系のバージョン
- OpenSSL 1.0.2yおよびそれ以前の1.0.2系のバージョン
なお、OpenSSL ProjectによるとOpenSSL 1.0.2、OpenSSL 1.1.0については、既にサポートが終了しており、アップデートを受け取ることはできないため、開発者は、OpenSSL1.1.1lへのアップグレードを推奨しています。
III. 対策
OpenSSL Projectから脆弱性を修正したバージョンのOpenSSLが公開されています。十分なテストを実施の上、修正済みのバージョンを適用することをお勧めします。
- OpenSSL 1.1.1l
IV. 参考情報
OpenSSL Project
OpenSSL Security Advisory [24 August 2021]
https://www.openssl.org/news/secadv/20210824.txt
Ubuntu
CVE-2021-3711
https://ubuntu.com/security/CVE-2021-3711
CVE-2021-3712
https://ubuntu.com/security/CVE-2021-3712
Red Hat Customer Portal
CVE-2021-3711
https://access.redhat.com/security/cve/cve-2021-3711
CVE-2021-3712
https://access.redhat.com/security/cve/cve-2021-3712
SUSE
CVE-2021-3711
https://www.suse.com/security/cve/CVE-2021-3711.html
CVE-2021-3712
https://www.suse.com/security/cve/CVE-2021-3712.html
Debian
CVE-2021-3711
https://security-tracker.debian.org/tracker/CVE-2021-3711
CVE-2021-3712
https://security-tracker.debian.org/tracker/CVE-2021-3712
