OpenSSLにおける境界外メモリアクセスの脆弱性（OpenSSL Security Advisory [16th October 2024]）

JVN iPedia は、OpenSSL における境界外メモリアクセス（境界外読み取り／境界外書き込み）の脆弱性について公表している。暗号通信で広く使われるライブラリに影響し、特定の条件下で想定外のメモリ破壊が起きる可能性がある。

脆弱性の詳細

JVN iPedia によると、OpenSSL において、信頼できない値を用いて低レベルの GF(2^m) 楕円曲線 API を使用すると、メモリの境界外読み取りまたは書き込みが発生する問題（CWE-787、CVE-2024-9143）が報告されている。この問題は、プログラムが確保した領域を超えてデータへアクセスしてしまう不具合であり、結果としてプロセスの異常終了（サービス停止）や、条件次第ではリモートコード実行（任意コードの実行）につながるおそれがある。

OpenSSL Project は 2024年10月16日付で「OpenSSL Security Advisory [16th October 2024]（Low-level invalid GF(2^m) parameters lead to OOB memory access）」を公開しており、JVN iPedia はこれをもとに影響範囲と修正状況を示している。CVE番号は CVE-2024-9143 であり、CVSS スコア（深刻度評価）は「Severity: Low（深刻度：低）」とされている。なお、本脆弱性が悪用可能となるようなアプリケーションが稼働している可能性は低いと指摘されている。

JVN iPedia によると、攻撃ベクタ（攻撃の入り口）は、OpenSSL を利用して暗号化通信を処理するサーバやアプリケーションが、外部からの通信・入力を処理する場面になり得る。低レベルの GF(2^m) 楕円曲線 API を信頼できない値とともに利用している場合に限り、境界外メモリアクセスが発生する可能性がある。悪用された場合のリスクは、暗号化通信を担う重要コンポーネントが影響を受ける点にあり、業務サービスの停止や、影響範囲の調査・復旧に時間を要する可能性がある。

影響を受ける製品・バージョン

• OpenSSL 3.3.3 より前の 3.3.0 系バージョン
• OpenSSL 3.2.4 より前の 3.2.0 系バージョン
• OpenSSL 3.1.8 より前の 3.1.0 系バージョン
• OpenSSL 3.0.16 より前の 3.0.0 系バージョン
• OpenSSL 1.1.1zb より前の 1.1.1 系バージョン
• OpenSSL 1.0.2zl より前の 1.0.2 系バージョン
• OpenSSL を同梱している OS、ミドルウェア、VPN 装置、ロードバランサ、監視製品、業務アプリケーション等（各ベンダーが示す該当バージョン）

なお、OpenSSL 3.3、3.2、3.1、3.0 向けの FIPS モジュールは本脆弱性の影響を受けないことが確認されている。

推奨される対策

• 修正版への更新：OpenSSL Project が示す修正済みリリース（3.3.3、3.2.4、3.1.8、3.0.16、1.1.1zb、1.0.2zl など）や、JVN iPedia および各ベンダーが提供する更新パッケージへアップデートする。
• 影響有無の確認：サーバ／端末／ネットワーク機器で利用中の OpenSSL のバージョン、または OpenSSL を組み込む製品のバージョンを棚卸しし、JVN iPedia に示されている対象範囲と突合する。
• ベンダー情報の確認：OS やアプライアンス等で OpenSSL が同梱される場合、提供元が公開する修正状況・更新手順に従って適用する（OpenSSL 単体の入れ替えが適切でない場合がある）。
• 更新が難しい場合の暫定対応：直ちに更新できない環境は、インターネットから到達可能な箇所を最小化し、公開サービスの必要性を見直す。加えて、当該プロセスのクラッシュや再起動を監視し、異常の早期検知を行う。

日本の中小企業が今すぐ取るべき行動

• 最優先：資産の洗い出し：公開サーバ（Web、メール、VPN）と、その背後の OS／ミドルウェアで OpenSSL が使われているかを確認する。
• 次に：バージョン特定と影響判定：対象機器・サーバで OpenSSL のバージョン、または製品のビルド番号を特定し、JVN iPedia に記載された対象条件に該当するか確認する。
• 更新計画の確定：該当する場合は、業務影響が少ない時間帯でパッチ適用・再起動を伴う更新計画を立て、担当者と承認者を決める。
• 運用面の補強：更新までの間、外部公開の必要がないポートの遮断、アクセス制御の見直し、ログ監視の強化を行う。
• 適用後の確認：更新後にバージョンが修正済みになっていること、主要サービスが正常稼働していることを確認し、記録として残す。

CSRIからの現場アドバイス

実際のペネトレーションテストでは、OpenSSL のような暗号ライブラリ単体よりも「OS やアプライアンスに同梱された古い版」が置き去りになって発見されがちです。診断報告書でよく指摘されるのが、運用都合で再起動を避け、更新が数か月単位で遅れる点です。

例えるなら、金庫の鍵穴（暗号通信の入口）に傷があり、特定の差し込み方をされると中の部品が壊れて止まってしまうようなものです。つまり、外部との通信を受けるだけで業務システムが落ちる可能性があり、早めの修正が重要です。

まず社内で、公開サーバと VPN 装置の「製品名・OS・バージョン」を一覧化し、OpenSSL を含む更新が出ていないか確認してください。次に担当者（またはベンダー）に、JVN iPedia に基づく影響確認と更新手順の提示を依頼し、今週中に適用日程まで決めましょう。

参照: OpenSSL における境界外書き込みの脆弱性 (OpenSSL Security Advisory [16th October 2024])