OpenSSLã®è„†å¼±æ€§(CVE-2015-1793)ã«ã‚ˆã‚‹Altãƒã‚§ãƒ¼ãƒ³è¨¼æ˜Žæ›¸å½é€ ã®ä»•çµ„ã¿ - ã¼ã¡ã¼ã¡æ—¥è¨˜
TL;DR ã‚„ã£ã±ã‚Šæ›¸ã„ã¦ã„ãŸã‚‰é•·æ–‡ã«ãªã£ã¦ã—ã¾ã„ã¾ã—ãŸã€‚ã‚ã¾ã‚Šã¡ã‚ƒã‚“ã¨æŽ¨æ•²ã™ã‚‹æ°—力ãŒãªã„ã®ã§ã€å¤‰ãªæ–‡ç« ã«ãªã£ã¦ã„ã‚‹ã‹ã‚‚ã—ã‚Œã¾ã›ã‚“。ã”了承ã„ãŸã ã‘ã‚‹æ–¹ã®ã¿ãŠèªã¿ãã ã•ã„。 1. ã¯ã˜ã‚㫠昨晩未明ã«OpenSSL-1.0.2d, 1.0.1pãŒãƒªãƒªãƒ¼ã‚¹ã•ã‚Œã¾ã—ãŸã€‚事å‰ã«äºˆå‘Šã•ã‚Œã¦ã„ãŸé€šã‚Šæ·±åˆ»åº¦é«˜ã®è„†å¼±æ€§CVE-2015-1793ãŒä¿®æ£ã•ã‚Œã¦ã„ã¾ã™ã€‚Advisoryを見るã¨ã€ã“ã®è„†å¼±æ€§ãŒiojs/Nodeã«å½±éŸ¿ãŒã‚ã‚‹ã¨ã„ã†ã“ã¨ãŒåˆ¤æ˜Žã—ãŸã®ã§ç›´ã¡ã«iojs/Nodeã®ã‚¢ãƒƒãƒ—デートを行ã„ã€ä»Šæœæœªæ˜Žã«ç„¡äº‹è„†å¼±æ€§å¯¾å¿œç‰ˆã‚’リリースã—ã¾ã—ãŸã€‚ 今回ãŒåˆã‚ã¦ã§ã¯ã‚ã‚Šã¾ã›ã‚“ãŒã€æ·±å¤œã«æ—¥æ¬§ç±³ã®ã‚¨ãƒ³ã‚¸ãƒ‹ã‚¢ãŒgithub上ã§äº’ã„ã«é€£æºã—ãªãŒã‚‰é€Ÿã‚„ã‹ã«ã‚»ã‚ュリティ対ç–ã®ãƒªãƒªãƒ¼ã‚¹ä½œæ¥ã‚’è¡Œã†ã“ã¨ã¯ä½•å›žã‚„ã£ã¦ã‚‚ãªã‹ãªã‹ã—ã³ã‚Œã‚‹çµŒé¨“ã§ã™ã€‚時差もã‚ã‚Šãªã‹ãªã‹ä½“力的ã«ã¯è¾›ã„ã‚‚ã®ãŒã‚ã‚Šã¾ã™ãŒã€ä¸–ç•Œã®è¶…一æµã®ã‚¨ãƒ³ã‚¸ãƒ‹ã‚¢ã¨å…±åŒã§ãƒªã‚¢
GoogleãŒOpenSSLをフォークã—ãŸã€ŒBoringSSLã€ã‚’公開 | スラド ã‚»ã‚ュリティ
GoogleãŒOpenSSLをフォークã—ã€ã€ŒBoringSSLã€ã¨ã—ã¦å…¬é–‹ã—ãŸ(ImperialVioletブãƒã‚°ã®è¨˜äº‹ã€ Ars Technicaã®è¨˜äº‹ã€ 本家/.)。 Googleã¯ä½•å¹´ã‚‚ã®é–“ã€OpenSSLã«æ•°å¤šãã®ãƒ‘ッãƒã‚’当ã¦ã¦ä½¿ç”¨ã—ã¦ã„ãŸã¨ã„ã†ã€‚一部ã®ãƒ‘ッãƒã¯OpenSSLã®ãƒ¡ã‚¤ãƒ³ãƒªãƒã‚¸ãƒˆãƒªã«å–ã‚Šè¾¼ã¾ã‚ŒãŸãŒã€å¤§åŠã¯APIã‚„ABIã®å®‰å®šæ€§ã®å•é¡ŒãŒã‚ã‚‹ãªã©ã®ç†ç”±ã§å–ã‚Šè¾¼ã¾ã‚Œã¦ã„ãªã‹ã£ãŸã€‚Androidã‚„Chromeãªã©ã®è£½å“ã¯ãƒ‘ッãƒã®ä¸€éƒ¨ã‚’å¿…è¦ã¨ã™ã‚‹ãŒã€ãƒ‘ッãƒã¯70以上もã‚ã‚‹ãŸã‚ã«ä½œæ¥ãŒè¤‡é›‘ã«ãªã£ã¦ã„ãŸãã†ã 。ãã®ãŸã‚ã€OpenSSLをフォークã—ã¦ã€OpenSSLå´ã®å¤‰æ›´ã‚’インãƒãƒ¼ãƒˆã™ã‚‹æ–¹å¼ã«å¤‰æ›´ã—ãŸã¨ã—ã¦ã„る。BoringSSLã¯è¿‘ã„ã†ã¡ã«Chromiumã®ãƒªãƒã‚¸ãƒˆãƒªã«è¿½åŠ ã•ã‚Œã‚‹äºˆå®šã§ã€ã„ãšã‚ŒAndroidや内部的ã«ã‚‚使ã‚れるよã†ã«ãªã‚‹ã€‚ãŸã ã—ã€BoringSSLã§ã¯APIã‚„ABI
ã‚»ã‚ュリティ診æ–・検査ã®GMOサイãƒãƒ¼ã‚»ã‚ュリティ byイエラエ
GMOサイãƒãƒ¼ã‚»ã‚ュリティ byã‚¤ã‚¨ãƒ©ã‚¨æ ªå¼ä¼šç¤¾ã¯å›½å†…トップクラスã®ãƒ›ãƒ¯ã‚¤ãƒˆãƒãƒƒã‚«ãƒ¼ãŒå¤šæ•°åœ¨ç±ã™ã‚‹ã‚µã‚¤ãƒãƒ¼ã‚»ã‚ュリティã®ä¼šç¤¾ã§ã™ã€‚攻撃手法ã«é–¢ã™ã‚‹è±Šå¯ŒãªçŸ¥è˜ã¨æœ€å…ˆç«¯ã®æŠ€è¡“ã‚’æŒã¤ãƒ›ãƒ¯ã‚¤ãƒˆãƒãƒƒã‚«ãƒ¼ãŒä»®æƒ³æ•µã¨ãªã‚Šã€ãŠå®¢æ§˜ã®æŠ±ãˆã‚‹ã‚»ã‚ュリティ上ã®å•é¡Œã®å¯è¦–化ã¨èª²é¡Œè§£æ±ºã‚’サãƒãƒ¼ãƒˆã—ã¾ã™ã€‚ 「誰もãŒçŠ 牲ã«ãªã‚‰ãªã„社会を創るã€ã‚’ミッションã¨ã—ã¦æŽ²ã’ã€ãƒ‡ã‚¸ã‚¿ãƒ«ãƒã‚¤ãƒ†ã‚£ãƒ–ã®æ™‚代を生ãã‚‹ã™ã¹ã¦ã®äººãŒå®‰å…¨ã«æš®ã‚‰ã›ã‚‹ã‚¤ãƒ³ã‚¿ãƒ¼ãƒãƒƒãƒˆç¤¾ä¼šå‰µã‚Šã«è²¢çŒ®ã—ã¾ã™ã€‚
analysis of openssl freelist reuse
About two days ago, I was poking around with OpenSSL to find a way to mitigate Heartbleed. I soon discovered that in its default config, OpenSSL ships with exploit mitigation countermeasures, and when I disabled the countermeasures, OpenSSL stopped working entirely. That sounds pretty bad, but at the time I was too frustrated to go on. Last night I returned to the scene of the crime. OpenSSL uses
OpenBSDãŒOpenSSLã®å¤§æŽƒé™¤ã«ç€æ‰‹ã€ã€ŒOpenOpenSSLã€ã‚µã‚¤ãƒˆã‚‚ç«‹ã¡ä¸ŠãŒã‚‹ | スラド オープンソース
OpenBSDãŒOpenSSLã®å¤§æŽƒé™¤ã«ç€æ‰‹ã—ã¦ã„ã¾ã™ï¼ˆslashdot）。 ãŸã¨ãˆã°libssl/src/sslを見るã¨ã€CVSã«ç½µå€’ã¨ä¿®æ£ãŒã²ã£ãã‚Šãªã—ã«è¨˜éŒ²ã•ã‚Œã¦ã„ã¾ã™ã€‚ Heatbleed対ç–ã®ãƒ‘ッãƒã ã‘ã§æº€è¶³ã—ãªã‹ã£ãŸç†ç”±ã¯ã€å½¼ã‚‰ã‹ã‚‰è¦‹ã¦HeartbleedãŒå˜ãªã‚‹ãƒã‚°ã‚„仕様ã®å•é¡Œã§ã¯ãªãã€ã‚»ã‚ュリティæ„è˜ã®å•é¡Œã‹ã‚‰ç”£ã¾ã‚ŒãŸã‚‚ã®ã ã‹ã‚‰ã§ã™ã€‚ 何年もå‰ã‹ã‚‰ 「OpenSSL ã¯ã‚µãƒ«ãŒæ›¸ã„ã¦ã‚‹ã‚“ã ã‚ã†ã€ã¨æ¶æ„ã—ã¦ã„ãŸã¨ãŠã‚Šã€OpenSSL コードã®å“質ãŒä½Žã„ã“ã¨ã‚’OpenBSD開発者ãŸã¡ã¯çŸ¥ã£ã¦ã„ã¾ã—ãŸãŒã€ãã‚ŒãŒæ„è˜ã‚„責任感ã®å•é¡Œã ã¨ã„ã†ç¢ºä¿¡ã¯ã¾ã ãªã‹ã£ãŸã®ã‹ã‚‚ã—ã‚Œã¾ã›ã‚“。 OpenBSD ã«ã¯ãƒ¡ãƒ¢ãƒªé˜²è·æ©Ÿæ§‹ãŒã‚ã‚Šã¾ã™ã®ã§ã€Heartbleed脆弱性ãŒã‚ã£ã¦ã‚‚当åˆã€malloc.confã«Jオプションを付ã‘ã‚Œã°free済ã¿ãƒ¡ãƒ¢ãƒªã¯ã‚·ãƒ¥ãƒ¬ãƒƒãƒ€ãƒ¼ã«ã‹ã‘られ秘密ã¯æ¼ã‚Œãªã„ã ã‚ã†ã¨æ€ã£ãŸãã†
Heartbleed Challenge
The Heartbleed Challenge Can you steal the keys from this server? Has the challenge been solved yet? NO. This server is running nginx-1.5.13 linked against OpenSSL 1.0.1.f on Ubuntu 13.10 x86_64. It is vulnerable to Heartbleed. Can you get the secret key? If you think you have it, submit the RSA signature of the string "Proof I have your key\n" as proof. This proof can be obtained with the followi
OpenSSLã«è„†å¼±æ€§ã€ã‚¯ãƒ©ã‚¤ã‚¢ãƒ³ãƒˆã‚„サーãƒã«ãƒ¡ãƒ¢ãƒªéœ²å‘ˆã®æã‚Œ
オープンソースã®SSLï¼TLS実装ライブラリ「OpenSSLã€ã«64Kãƒã‚¤ãƒˆã®ãƒ¡ãƒ¢ãƒªãŒéœ²å‘ˆã•ã‚Œã¦ã—ã¾ã†è„†å¼±æ€§ãŒç™ºè¦šã—ã€ã“ã®å•é¡Œã‚’ä¿®æ£ã—ãŸã€ŒOpenSSL 1.0.1gã€ãŒ4月7æ—¥ã«å…¬é–‹ã•ã‚ŒãŸã€‚ OpenSSLã®ã‚»ã‚ãƒ¥ãƒªãƒ†ã‚£æƒ…å ±ã«ã‚ˆã‚‹ã¨ã€è„†å¼±æ€§ã¯TLS Heartbeatæ‹¡å¼µã®å‡¦ç†ã«ãŠã‘る境界ãƒã‚§ãƒƒã‚¯ã®ä¸å‚™ã«èµ·å› ã™ã‚‹ã€‚悪用ã•ã‚ŒãŸå ´åˆã€æœ€å¤§64Kãƒã‚¤ãƒˆã®ãƒ¡ãƒ¢ãƒªãŒæŽ¥ç¶šã•ã‚ŒãŸã‚¯ãƒ©ã‚¤ã‚¢ãƒ³ãƒˆã‚„サーãƒã«éœ²å‘ˆã•ã‚Œã‚‹æã‚ŒãŒã‚る。 ã“ã®è„†å¼±æ€§ã¯ã€OpenSSL 1.0.1fã¨1.0.2-beta1ã‚’å«ã‚€1.0.1ãŠã‚ˆã³1.0.2-betaリリースã«å˜åœ¨ã—ã¦ãŠã‚Šã€1.0.1gã§ä¿®æ£ã•ã‚ŒãŸã€‚ç›´ã¡ã«ã‚¢ãƒƒãƒ—グレードã§ããªã„å ´åˆã®ãŸã‚ã«ã€ã€ŒOPENSSL_NO_HEARTBEATSã€ã®ãƒ•ãƒ©ã‚°ã‚’有効ã«ã—ã¦å†ã‚³ãƒ³ãƒ‘イルã™ã‚‹æ–¹æ³•ã‚‚紹介ã—ã¦ã„る。 ã“ã®å•é¡Œã«ã¤ã„ã¦OpenSSLを使ã£ãŸã‚µãƒ¼ãƒ“スをæä¾›ã—ã¦ã„ã‚‹ã‚»ã‚ュリティä¼æ¥ã®C
SSL証明書ã®æ›´æ–° - volatile memory
ã„ã¤ã‚‚ã®ã‚ˆã†ã« Thunderbird ã§ãƒ¡ãƒ¼ãƒ«ã‚’ãƒã‚§ãƒƒã‚¯ã—よã†ã¨ã—ãŸã‚‰ã€SSL 証明書ã®æœ‰åŠ¹æœŸé™ãŒåˆ‡ã‚Œã¦ã„ã‚‹ã¨ã®è¦å‘ŠãŒå‡ºãŸã€‚メールサーãƒã«ã¯ imapd-uw を使ã£ã¦ SSL 経由ã§æŽ¥ç¶šã—ã¦ã„る。自分ã§é‹ç”¨ã—ã¦è‡ªåˆ†ã§ã—ã‹ä½¿ã£ã¦ã„ãªã„サーãƒãªã®ã§ã€ä½¿ã£ã¦ã„る証明書ã¯ã€èªè¨¼å±€ (CA) も自å‰ã®ã€ã„ã‚ゆるオレオレ証明書ã¨ã„ã†ã‚‚ã®ã 。 imapd ã§ä½¿ã†è¨¼æ˜Žæ›¸ã‚’自己証明書ã«ã—ã¦ã‚‚良ã„ã®ã ãŒã€èªè¨¼å±€ã®é‹ç”¨ã®ä»•çµ„ã¿ã‚’知りãŸã‹ã£ãŸã®ã§ã€è‡ªå‰ã‚µãƒ¼ãƒä¸Šã§ OpenSSL ã«ã‚ˆã‚‹èªè¨¼å±€ã‚’ç«‹ã¡ä¸Šã’ã€imapd ã§ä½¿ã†è¨¼æ˜Žæ›¸ã«ç½²åã‚’ã™ã‚‹å½¢ã«ã—ã¦ã„る。èªè¨¼å±€ã®è¨¼æ˜Žæ›¸ã¯è‡ªå·±è¨¼æ˜Žæ›¸ã§æœ‰åŠ¹æœŸé™ã¯10å¹´ã¨ã—ã€imapd ã®è¨¼æ˜Žæ›¸ã®æœ‰åŠ¹æœŸé™ã¯ 1 å¹´ã¨ã—ã¦ã„る。 自己èªè¨¼å±€ã§ã€ç½²åã‚’ã™ã‚‹æ©Ÿä¼šãªã©ãã†ãã†ã‚ã‚‹ã‚‚ã®ã§ã¯ãªãã€openssl を実行ã™ã‚‹ã“ã¨ã¯å®Ÿéš›ã®ã¨ã“ã‚ã€å¹´ã«1度ã«ãªã£ã¦ã„る。当然ã®ã‚ˆã†ã«å‰ã«ã‚„ã£ãŸã“ã¨ãªã©å¿˜
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
RHSA-2016:0722 - Security Advisory
OpenSSLã¨DNSã®ä»¶ãŒç›¸å½“ã«ãƒ¤ãƒã„雰囲気ã«ãªã£ã¦ãŠã‚Šã¾ã™(山本一郎) - 個人 - Yahoo!ニュース
https://jp.techcrunch.com/2014/04/10/20140409what-bitcoin-users-need-to-know-about-heartbleed/
https://jp.techcrunch.com/2014/04/09/20140408what-is-heartbleed-the-video/
GitHub - titanous/heartbleeder: OpenSSL CVE-2014-0160 Heartbleed vulnerability test
deps: update openssl to 1.0.1g by indutny · Pull Request #7421 · nodejs/node-v0.x-archive
#2619: Bug Report - AES-NI engine errors
{{#tags}}- {{label}}
{{/tags}}