iidaの日記: 1.0系OpenSSLのTLS1.2サーバー実装にDoS
日記 by
iida
1.0系OpenSSLのTLS 1.2サーバー実装にDoS脆弱性が発覚。OpenSSLの作者のひとりStephen Hensonをなのる人物が、デジタル署名のないソースの差分を公開した。TLS 1.2への依存のためか、CVE-2013-6449は、脆弱性を内包した版として1系のみをあげている。
版により行数が異なるためか、公開された差分は1.0.1e版には適用できなかったが、次のように行番号を変更すれば適用できた。
--- s3_lib.c~ 2013-02-11 15:26:04
+++ s3_lib.c 2013-12-27 01:20:06
@@ -4274,7 +4274,7 @@
long ssl_get_algorithm2(SSL *s)
{
long alg2 = s->s3->tmp.new_cipher->algorithm2;
- if (TLS1_get_version(s) >= TLS1_2_VERSION &&
+ if (s->method->version == TLS1_2_VERSION &&
alg2 == (SSL_HANDSHAKE_MAC_DEFAULT|TLS1_PRF))
return SSL_HANDSHAKE_MAC_SHA256 | TLS1_PRF_SHA256;
return alg2;
[参考リンク]
1.0系OpenSSLのTLS1.2サーバー実装にDoS More ログイン