OpenSSL RSAシグニチャ偽造の脆弱性

OpenSSLバージョン0.9.7j以前および0.9.8b以前には脆弱性があり、認証されていないリモートの攻撃者が不正なX.509証明書を正常に渡す可能性があります。

この脆弱性により、認証されていないリモートの攻撃者が、特定のタイプのRSAキーによって署名された際に、偽造された公開キー暗号規格(PKCS)#1バージョン1.5シグニチャを通過させる可能性があります。  攻撃者は、この脆弱性を不正利用して証明書で保護されたリソースにアクセスする可能性があります。

OpenSSLはセキュリティアドバイザリで脆弱性を確認し、更新バージョンをリリースしました。

この脆弱性は、公開キーの指数が3の場合にPKCS #1 v1.5シグニチャに影響を与えます。これは認証局によって広く使用されています。  攻撃者は、この脆弱性を不正利用して秘密鍵なしで署名を偽造する可能性があります。  PKCS #1 v1.5はX.509証明書内で使用されることが多いため、X.509証明書を確認するためにOpenSSLを使用するすべてのアプリケーションは、SSLまたはTLS用にOpenSSLを使用するソフトウェアを含め、脆弱性が存在する可能性があります。

OpenSSLは次のリンクでセキュリティアドバイザリをリリースしました：2006年9月5日 

Appleは次のリンクでセキュリティアップデートをリリースしています。Security Update 2006-007およびJava Release 6 for Mac OS X 10.4 

ARKOONは次のPDFリンクでセキュリティアドバイザリをリリースしました：AK-2006-04

Attachmateは次のリンクでテクニカルノートをリリースしました。テクニカルノート2137

Avayaは次のリンクでセキュリティアドバイザリをリリースしました：ASA-2006-188

シスコは、Cisco-sr-20061108-opensslのリンクでセキュリティ応答を再リリースしました。 この応答は、次のバグIDに対応しています。

0.CSCsg22734 
0.CSCsg01963
0.CSCsg09619
0.CSCsg16571 
0.CSCsg17943
0.CSCsg24311
0.CSCsg46092 
0.CSCsg04397 
0.CSCsg04386
0.CSCsg51110 
0.CSCsg51304 
0.CSCek57074 
0.CSCsg59589
0.CSCsf97055
0.CSCsg55732
0.CSCsg36592
0.CSCsg55738
0.CSCsg55742
0.CSCsg56292
0.CSCsg58599
0.CSCsg58607
0.CSCsg58592
0.CSCsh14665

DebianはDSA-1173-1とDSA-1174-1のリンクでセキュリティアドバイザリをリリースしました。

FreeBSDは次のFTPリンクでセキュリティ勧告を公開しています： FreeBSD-SA-06:19 

FreeBSDは次のリンクでVuXMLドキュメントをリリースしました：openoffice.org – 複数の脆弱性

Gentooは次のリンクでセキュリティアドバイザリをリリースしました：GLSA 200609-05およびGLSA 200610-06 

HITACHIは次のリンクでセキュリティ・アドバイザリをリリースしました：HS07-034

HPは、HPSBUX02165、HPSBUX02186、HPSBTU02207、およびHPSBMA02250のリンクでセキュリティ情報をリリースしています。

Ingate Systemsは、次のリンクでソフトウェアリリースに関する通知をリリースしています。Ingate FirewallおよびIngate SIParator 4.5.1

Mandrivaは次のリンクでセキュリティアドバイザリをリリースしました：MDKSA-2006:161、MDKSA-2006:177、MDKSA-2006:178、およびMDKSA-2006:207

NetBSDは次のFTPリンクでセキュリティアドバイザリをリリースしました：NetBSD-SA2006-023

Novellは次のリンクでセキュリティアナウンスメントをリリースしています。Novell 3143224

OpenBSDは次のリンクでセキュリティに関するアナウンスを公開しています。 016: SECURITY FIX: 2006年9月8日および011: SECURITY FIX: 2006年9月8日

OpenOffice.orgは、次のリンクでセキュリティアドバイザリをリリースしています。CVE-2006-4339

OpenPKGは次のリンクでセキュリティアドバイザリをリリースしています。OpenPKG-SA-2006.018

OpenVPNは次のリンクでセキュリティアドバイザリをリリースしました。OpenVPN 2.0.x Change Log

Operaは次のリンクでセキュリティアドバイザリをリリースしました： 845

Oracleは次のリンクでセキュリティアドバイザリをリリースしています：BEA07-169.00およびOracle Critical Patch Update January 2007

Red Hatはセキュリティアドバイザリを次のリンクでリリースしました： RHSA-2006:0661、RHSA-2007:0062、RHSA-2007:0072、RHSA-2007:0073、RHSA-2008:0264、RHSA-208およびRHSA-2008:0629

SGIは次のFTPリンクでセキュリティアドバイザリをリリースしました：20060901-01-P

Slackwareは次のリンクでセキュリティアドバイザリをリリースしました： SSA:2006-257-02およびSSA:2006-310-01

SSH Communicationsは、SSH Tectia Server 5.1.1、SSH Tectia Manager 2.2.1、SSH Tectia Server for IBM z/OS 5.2.1、およびSSH Tectia Client 5.1.1のソフトウェアリリースノートを次のリンクで公開しています。 

Sunは、200196、200474、および200610のリンクでアラート通知を再リリースしました

Sunは次のリンクでセキュリティ通知をリリースしました：CVE-2006-4339

SUSEは、次のリンクでセキュリティアナウンスメントをリリースしています。SUSE-SA:2006:055、SUSE-SA:2006:061、およびSUSE-SA:2007:010

SUSEは次のリンクでセキュリティサマリーレポートをリリースしました。SUSE-SR:2006:026

Sybaseは次のリンクでセキュリティアドバイザリをリリースしました： 1047991

Trustixは次のリンクでセキュリティアドバイザリをリリースしました：TSLSA-2006-0051およびTSLSA-2006-0063

Turbolinuxは次のリンクでセキュリティアドバイザリをリリースしました：TLSA-2006-29

Ubuntu Linuxは次のリンクでセキュリティ通知をリリースしました：USN-339-1

Van Dyke Technologiesは、SecureCRT 5.2.2およびSecureFX 4.0.2のリンクで変更を公開しています。

VMwareは次のリンクでナレッジベースの記事をリリースしています：3069097および9986131。VMwareは次のリンクでセキュリティアドバイザリをリリースしました：VMSA-2008-0005

US-CERTは次のリンクで脆弱性に関するノートをリリースしました。VU#845620

適切なアップデートを適用することを推奨します。

管理者は、2要素認証システムの一部として証明書を使用することを推奨します。

管理者は、VPNまたは影響を受けない他のリモートアクセステクノロジーを使用して、証明書で保護されたリソースへのアクセスを信頼されたユーザーに制限することを検討できます。

DNSSECを使用してISC BINDを実行する管理者は、使用可能なソフトウェアアップデートを適用し、すべての古いキーに対して新しいRSA-SHA1およびRSA-MD5キーを生成し、新しいキーへのキーロールオーバーを実行することを推奨します。

OpenSSLの更新バージョンは、OpenSSL 0.9.7kおよびOpenSSL 0.9.8cでリリースされています。 

Appleは次のリンクで更新されたソフトウェアをリリースしています。

Mac OS X 10.3.9 
Mac OS Xサーバ10.3.9
Mac OS X 10.4.8インテル
Mac OS X 10.4.8 PPC
Mac OS Xサーバ10.4.8ユニバーサル
Mac OS Xサーバ10.4.8 PPC 
Mac OS X 10.4用のJava 

ARKOONはARKOON Customer SpaceのClient Updateでソフトウェアアップデートをリリースしました。

Attachmateは次のリンクで更新されたパッチをリリースしました： Attachmate

Blue Coatは次のリンクで更新情報を受け取るための手順をリリースしました。Blue Coat

契約が有効なシスコのお客様は、CiscoのSoftware Centerからアップデートを入手できます。契約をご利用でないお客様は、Cisco Technical Assistance Center(TAC)に1-800-553-2447または1-408-526-7209で連絡するか、tac@cisco.comに電子メールで問い合わせてアップグレードを入手できます。

Debianは次のリンクで更新されたパッケージをリリースしています： Debian (openssl)およびDebian (openssl096)

FreeBSDは次のリンクでパッチをリリースしました： openssl.patch

FreeBSDは次のリンクからportsコレクションの更新をリリースします。 Ports Collection Index

次のパッケージのGentooのアップデートは、emergeコマンドを使用して取得できます。

dev-libs/openssl
アプリケーションエミュレーション/emul-linux-x86-baselibを使用します。
dev-libs/nss

HPは次のリンクで登録ユーザ向けのアップデートをリリースしています。

• PHSS_35463 Virtualvault 4.7 OWS (Apache 1.x)アップデート
• PHSS_35460 Virtualvault 4.7 IWSアップデート
• PHSS_35481 Virtualvault 4.7 TGPアップデート
• PHSS_35436 Virtualvault 4.7 OWS (Apache 2.x)アップデート
• PHSS_35462 Virtualvault 4.6 OWSアップデート
• PHSS_35459 Virtualvault 4.6 IWSアップデート
• PHSS_35480 Virtualvault 4.6 TGPアップデート
• PHSS_35461 Virtualvault 4.5 OWSアップデート
• PHSS_35458 Virtualvault 4.5 IWSアップデート
• PHSS_35437 Webproxy server 2.1(Apache 2.x)アップデート
• PHSS_35111 Webproxy server 2.1 (Apache 1.x)アップデート
• PHSS_35110 Webプロキシサーバ2.0の更新

HPは次のリンクでHP-UX IPv4用のアップデートパッケージをリリースしています。

HP-UX B.11.00
Revision A.2.0.58.01またはそれ以降

HP-UX B.11.11
Revision A.2.0.58.01またはそれ以降

HPは次のリンクでHP-UX IPv6用のアップデートパッケージをリリースしています。

HP-UX B.11.11
リビジョンB.2.0.58.01以降

HP-UX B.11.23
リビジョンB.2.0.58.01以降

HPは次のリンクで初期リリースのパッチキットをリリースしています。

• HP Tru64 UNIX v 5.1B-4 - T64KIT1001167-V51BB27-ES-20070321
• HP Tru64 UNIX v 5.1B-3 - T64KIT1001163-V51BB26-ES-20070315
• HP Tru64 UNIX v 5.1A PK6 - T64KIT1001160-V51AB24-ES-20070314
• HP Tru64 UNIX v 4.0G PK4 - T64KIT1001166-V40GB22-ES-20070316
• HP Tru64 UNIX v 4.0F PK8:DUXKIT1001165-V40FB22-ES-20070316
• Internet Express(IX)v 6.6 BIND:CPQIM360.SSL.01.tar.gz
• HP Insight Management Agents – 適切なERPキットにあるBIND 9.8.2パッチをインストールします。

HPは次のリンクで更新されたソフトウェアをリリースしています。

• Linux(x86)向けHP System Managementホームページ2.1.8-177
• Linux向けHP System Managementホームページ(AMD64/EM64T)2.1.8-177
• Windows 2.1.8-179用HP System Managementホームページ

Ingate Systemsは、次のリンクでソフトウェアアップデートをリリースしています。Ingate FirewallおよびIngate SIParator 4.5.1

Internet Systems Consortiumは、BIND 9.2.6-P2およびBIND 9.3.2-P2でBINDの更新ソフトウェアをリリースしています

MandrivaはMandrivaUpdateを使用して自動的に更新できます。  Mandrakeは、MandrakeUpdateを使用して自動的に更新できます。

NetBSDは次のFTPリンクから更新されたパッケージを入手するための命令をリリースしました： NetBSD

Novellは次のリンクで更新されたソフトウェアをリリースしています。Novell International Cryptographic Infrastructure(NICI)2.7.2

OpenBSDは、OpenBSD 3.8とOpenBSD 3.9のFTPリンクでソースコードのパッチをリリースしています

OpenOffice.orgは次のリンクで更新されたソフトウェアをリリースしました： OpenOffice 3.2

OpenPKGは次のFTPリンクで更新されたパッケージをリリースしました：OpenPKG 2.5 - openssl-0.9.8c-2.20060906 

OpenVPNは次のリンクで更新されたソフトウェアをリリースしました。OpenVPN 2.0.8

Operaは次のリンクで更新バージョンをリリースしました： Opera 9.02以降

Oracleは、登録ユーザ向けのパッチを次のリンクでリリースしました。Oracle

Oracleは次のリンクで更新されたソフトウェアをリリースしています。

WebLogic Server 9.2

• Maintenance Pack 1へのアップグレード

WebLogic Server 9.1

• Smart Updateツールを使用したパッチCR295567のインストール

WebLogic Server 9.0

• バグID CR239280に関連する9.0 GAコンボパッチをインストールします。
• パッチCR295567_900を適用

WebLogic ServerおよびWebLogic Expressバージョン8.1

• SP6へのアップグレード
• パッチCR295567_81sp6を適用
• パッチのjarをweblogic.jarファイルの前のCLASSPATHに配置します

WebLogic ServerおよびWebLogic Expressバージョン7.0

• SP7へのアップグレード
• パッチCR295567_70sp7を適用
• パッチのjarをweblogic.jarファイルの前のCLASSPATHに配置します

Red Hatパッケージは、up2dateまたはyumコマンドを使用して更新できます。

Secure Computingは更新バージョンをリリースしました。  アップデートの入手方法については、ベンダーにお問い合わせください。

SGIは次のリンクで登録ユーザ向けのパッチをリリースしています。パッチ10332 

Slackwareパッケージは、upgradepkgコマンドを使用して更新できます。

SSH Communicationsは次のリンクで更新されたソフトウェアをリリースしています。SSH Tectiaのダウンロード

Sunは次のリンクでパッチをリリースしています。

• JDKおよびJRE 5.0 Update 9以降（Windows、Solaris、およびLinux用）
• J2SE 5.0
• J2SE 1.0.3_04
• J2SE 1.4.2 

SPARC

• Sun Java Enterprise System for Solaris 8パッチ119209-17以降
• パッチ119211-17以降が適用されたSun Java Enterprise System for Solaris 9
• パッチ119213-17以降が適用されたSun Java Enterprise System for Solaris 10
• パッチ113451-14以降が適用されたSolaris 9
• Solaris 9 SSHパッチ122300-30および114356-14以降
• Solaris 9パッケージユーティリティーパッチ113713-26以降
• Solaris 10(パッチ119213-17以降)
• Solaris 10(パッチ120011-14以降)
• Solaris 10(パッチ120011-14以降)
• パッチ119169-22 または119166-29を適用したSun Java System Application Server Enterprise
• パッチ119173-22または119166-29が適用されたSun Java System Application Server(JSSERVER)プラットフォーム
• Service Pack 11以降がインストールされたSun Java System Web Server 6.0
• Service Pack 7以降がインストールされたSun Java System Web Server 6.1
• パッチ116648-20以降が適用されたSun Java System Web Server 6.1
• Service Pack 4以降がインストールされたSun Java System Proxy Server 4.0

Intel

• パッチ119212-17以降が適用されたSun Java Enterprise System for Solaris 9
• パッチ119214-17以降が適用されたSun Java Enterprise System for Solaris 10
• パッチ114435-13以降が適用されたSolaris 9
• Solaris 9 SSHパッチ114357-13および122301-30以降
• Solaris 9パッケージユーティリティーパッチ114568-25以降
• Solaris 10(パッチ119214-17以降)
• Solaris 10(パッチ120012-14以降)
• Solaris 10(パッチ127128-11以降)
• パッチ119170-22または119167-32を適用したSun Java System Server Enterprise
• パッチ119174-22または119167-32が適用されたSun Java System Server 
• Service Pack 7以降がインストールされたSun Java System Web Server 6.1
• パッチ116649-21以降が適用されたSun Java System Web Server 6.1
• Service Pack 4以降がインストールされたSun Java System Proxy Server 4.0

J2SE 5.0

J2SE 5.0:Solaris 9用(パッチ118666-17)
J2SE 5.0：パッチ118667-17（64ビット）が適用されたSolaris 9用
J2SE 5.0_x86：パッチ118668-17が適用されたSolaris 9用
J2SE 5.0_x86：パッチ118669-17（64ビット）が適用されたSolaris 9用

Linuxプラットフォーム

• パッチ121656-17以降が適用されたSun Java Enterprise System for Linux
• パッチ119171-22または119168-29が適用されていないSun Java System Server Enterprise
• パッチ119175-22 または119168-29が適用されていないSun Java System Server Platform
• Service Pack 11以降がインストールされたSun Java System Web Server 6.0
• Service Pack 7以降がインストールされたSun Java System Web Server 6.1
• パッチ118202-12以降が適用されたSun Java System Web Server 6.1
• Service Pack 4以降がインストールされたSun Java System Proxy Server 4.0

HP-UXプラットフォーム

• Sun Java Enterprise System for HP-UX(パッチ124379-08以降)
• Service Pack 11以降がインストールされたSun Java System Web Server 6.0
• Service Pack 7以降がインストールされたSun Java System Web Server 6.1
• Service Pack 4以降がインストールされたSun Java System Proxy Server 4.0
• Sun Java System Application Server Enterprise Edition 8.1 2005 Q1、パッチ119172-22なし
• Sun Java System Application Server Platform Edition 8.1 2005 Q1、パッチ119176-22なし
• Service Pack 11以降がインストールされたSun Java System Web Server 6.0
• Service Pack 7 以降がインストールされたSun Java System Web Server 6.1
• Service Pack 4以降がインストールされたSun Java System Proxy Server 4.0

AIXプラットフォーム

• Service Pack 11以降がインストールされたSun Java System Web Server 6.0
• Service Pack 7 以降がインストールされたSun Java System Web Server 6.1

Trustix製品は、swup —upgradeコマンドを使用して更新できます。

Turbolinuxパッケージは、turbopkgコマンドを使用して更新できます。

Ubuntuは更新されたパッケージをリリースしました。ユーザーはUpdate Managerを使用して更新プログラムをインストールできます。

Van Dyke Technologiesは次のリンクで更新されたソフトウェアをリリースしています。

SecureCRT 5.2.2
SecureFX 4.0.2

VMwareは、次のリンクでパッチをリリースしています。

VMWare ESX サーバ 3.0.1 
VMWare ESX サーバ 3.0.0  
VMWare ESX サーバ 2.5.4 
VMWare ESX サーバ 2.5.3 
VMWare ESX サーバ 2.1.3 
VMWare ESX サーバ 2.0.2

VMwareは、次のリンクで更新バージョンをリリースしています。

VMware ACE 1.0.5
VMware ACE 2.0.1以降
VMware Player 1.0.6
VMware Player 2.0.3
VMware Workstation 5.5.6
VMware Workstation 6.0.3
VMware Server 1.0.5

Cisco Product Security Incident Response Team（PSIRT）は、本アドバイザリに記載されている脆弱性の不正利用事例やその公表を確認していません。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。