OpenSSLの脆弱性CVE-2016-800(DROWN)やCVE-2016-0702(CacheBleed)についてまとめてみた - piyolog
2016年3月1日(現地時間)、OpenSSL プロジェクトは脆弱性の愛称「DROWN」や「CacheBleed」を含む8件の脆弱性情報を公開し、これら影響を受けるものの修正を行った最新版をリリースしました。ここでは関連情報をまとめます。 脆弱性情報概要 注意喚起 OpenSSL の複数の脆弱性に関する注意喚起 - JPCERT/CC SSLv2 DROWN Attack - US-CERT OpenSSL Projectの公開情報 Forthcoming OpenSSL releases OpenSSL Security Advisory ［1st March 2016］ OpenSSL version 1.0.1s published OpenSSL version 1.0.2g published An OpenSSL User’s Guide to DROWN 2016年3月1日公
OpenSSLの脆弱性CVE-2015-1793について - ロードバランスすだちくん
シンジです。続報です。（前回の記事） 新たに正式なアナウンスがありましたので、各種発表の一部から要約してお伝えします。 脆弱性について証明書系の攻撃にて、中間者攻撃を受ける可能性 緊急度高いとされています。 影響度影響度は低いと考えます。 AWSの各種サービスには、事実上影響無しHTTPS/FTPSなどSSL証明書を使用していない場合は影響なしAmazon Linuxはリポジトリを更新済みで適用可能AWSのサービスで対象があるものの、順次対応される為、ユーザー影響は無し対象範囲2015/6/11以降の比較的新しいOpenSSLにしか影響がないUbuntu 15.04 (Vivid Vervet)（訂正します、ご指摘ありがとうございます）, Amazon Linux等該当のバージョンは1.0.2c1.0.2b1.0.1n1.0.1o対処方法影響を受けるバージョンの1.0.2系は1.0.2dへ
OpenSSLに重度の脆弱性発見の模様、せっかくの機会なのでcloudpack-CSIRTの活動を紹介... - ロードバランスすだちくん
（最新の記事を掲載しました） シンジです。またもやOpenSSLに重度の脆弱性があるとのことです。7月9日にアップデートがリリースされるそうですが、対象範囲などをcloudpackのCSIRT（脆弱性対応チーム）の運用に則って見てみます。 発表された原文を見てみるThe OpenSSL project team would like to announce the forthcoming release of OpenSSL versions 1.0.2d and 1.0.1p. These releases will be made available on 9th July. They will fix a single security defect classified as “high” severity. This defect does not affect the 1.0.
OpenSSLの脆弱性（CVE-2014-0224）への対応方法（AWSサービス/OSごと） ※随時更新中 - サーバーワークスエンジニアブログ
大阪オフィスの桶谷です。こんにちは。 今週から大阪オフィスにも1人メンバーが増えました。祝ぼっち脱出。 さて、先日のHeartbleedに続いて、またしてもOpenSSLの脆弱性が発見されました。今回はCCS Injectionです。 ということで対応方法をまとめてみました。 ※最終更新 2014/06/11 1:00 CCS Injection脆弱性(CVE-2014-0224)の概要・対策・発見経緯について 株式会社レピダム さんの脆弱性発見ニュース http://lepidum.co.jp/news/2014-06-05/news-CCS-Injection/株式会社レピダム さんの脆弱性の概要説明 http://ccsinjection.lepidum.co.jp/ja.htmlOpenssl.org https://www.openssl.org/news/secadv_2014
OpenSSL マジヤバいっす！ ～ Heartbleed 脆弱性を試してみたよ - モラトリアムこじらせた
実際にデータが漏れる様子を見たい方はコチラ→あ、何か漏れてる… OpenSSL Heartbleed 実験その２へどうぞ。 さて ネット上の通信の大部分において「安全」を担保していた OpenSSL なのですが... でっかい穴 が空いていたことが明らかになったようです。いわゆる Heartbleed バグ。トホホです。 「ネット上のサービスで OpenSSL を使っている(いた)サイトは、もしかしたらこのバグを知っていた悪い人からサーバー上の情報を盗まれていたかもよ？ しかも盗んだ形跡は残らないんだぜ？」 ということになります。 サーバー上の情報というのは、例えば パスワード、メールアドレス 自分で登録した名前とか住所とか もちろん自分で入力したクレジットカード番号とか… などなど。 Mashableによると、有名なサービスでヤバイのは、 Facebook Tumblr Google Y
WiresharkでSSL通信の中身を覗いてみる - ろば電子が詰まつてゐる
OpenSSLの脆弱性「Heartbleed」が世間を賑わせていますが、色々と乗り遅れてしまった感があるので、ゆるゆると落ち穂拾いをしようかと思います。 Heartbleedで秘密鍵を手に入れたらSSL通信の中身全部見えちゃうじゃん!! という事態になっていますが、なんとなく理論的にそうだろうなと分かるもののイマイチ具体的な手順が分からない。 というわけで今回のテーマとして、手元にサーバの秘密鍵と、SSL通信をパケットキャプチャしたpcapファイルがあるときに、Wiresharkでどんな感じでSSL通信を「ほどく」のか……という具体的な手順を、ハマり所を含めてまとめておこうかと思います。 というか、私自身がハマったので自分用メモですな。なおこの文書では"SSL"とだけ記述し、TLSは無視しています。 前提条件 とりあえず以下のような感じの検証環境で試しました。 IPアドレス 説明 ホストO
OpenSSLの脆弱性で想定されるリスク - めもおきば
JVNやJPCERT/CCの記事があまりにもさらっと書かれていて、具体的なリスクが想像しづらいと思うので説明します。 今北産業 (今ニュース見て来たから三行で教えて欲しいという人向けのまとめ) インターネット上の「暗号化」に使われているOpenSSLというソフトウェアが2年間壊れていました。 このソフトウェアは便利なので、FacebookだとかYouTubeだとか、あちこちのウェブサイトで使っていました。 他の人の入力したIDとかパスワードとかクレカ番号とかを、悪い人が見ることができてしまいます。(実際に漏れてる例) 他にも色々漏れてますが、とりあえずエンジニア以外の人が覚えておくべきはここまででOKです。もう少し分かりやすい情報が以下にあります。 OpenSSL の脆弱性に対する、ウェブサイト利用者（一般ユーザ）の対応について まだ直っていないウェブサイトもあれば、元々壊れていないウェブ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OpenSSLにまた重度の欠陥、修正アップデートは3月19日にリリース