Tweet

SSL3.0の脆弱性が報告され、多くのサイトでSSL3.0の使用を停止しTLSに限定しましたが、またTLSにもPoodle攻撃（マンインザミドル攻撃）に対する脆弱性が指摘されましたが、POODLE攻撃に「新種」が確認されているということで、CERTの当該告知が更新されました。

この脆弱性の危険度は高く、以下の対応が速やかに必要です。

• OpenSSL 1.0.1 を 1.0.1jにアップデート
• OpenSSL 1.0.0 を1.0.0o.にアップデート
• OpenSSL 0.9.8を0.9.8zcにアップデート

US-CERTの警告発表 TA14-290A

2014年12月11日08:15 JST現在、ソースでは上記のヴァージョンが提供されていますが、RPM等については各ディストリビューションの対応はこれからの模様です。

もともとRPMだったものをソースからのビルドに変更する場合、OpenSSLのライブラリーを使用している各ソフトについても、あらたなライブラリを指定してビルドしなおす必要が生じる場合がありますので、ただちにシステムを乗っ取られる、改ざんされるという性格の脆弱性ではないため、HTTPS等でやりとりしている情報が非常に高い秘匿性をもっているのでない場合各ディストリビュータの対応を待って、パッケージ版でのアップデートするのをお勧めします。

参考：

RedHat系のディストリビューション（CentOS, Fedora）の場合、RPMのバージョンと各ソフトのコミュニティのオリジナルのバージョンの付け方は、バグフィックスや脆弱性対策については一致しません。

たとえば、今回のOpenSSLの場合、今日現在の最新版はRHEL6系ではopenssl-1.0.1e-30.el6_6.4ですが、これは、opensslのコミュニティのソースの1.0.1eに対して相当数のパッチが適応されているため、openssl-1.0.1eレベルとはことなります。

インストールされているパッケージのリリーズノートは以下のようにrpmコマンドで確認することができます。