OpenSSL Security Advisories - November 2022
Initial Publication Date: 2022/11/01 09:00 PDT AWS is aware of the recently reported issues regarding OpenSSL 3.0 (CVE-2022-3602 and CVE-2022-3786). AWS services are not affected, and no customer action is required. Additionally, Amazon Linux 1 and Amazon Linux 2 do not ship with OpenSSL 3.0 and are not affected by these issues. Customers utilizing Amazon Linux 2022, Bottlerocket OS or ECS-optimiz
Analytics cookies are off for visitors from the UK or EEA unless they click Accept or submit a form on nginx.com. They’re on by default for everybody else. Follow the instructions here to deactivate analytics cookies. This deactivation will work even if you later click Accept or submit a form. Check this box so we and our advertising and social media partners can use cookies on nginx.com to better
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? はじめに X.509 証明書について解説します。(English version is here → "Illustrated X.509 Certificate") ※ この記事は 2020 年 7 月 1 日にオンラインで開催された Authlete 社主催の『OAuth/OIDC 勉強会【クライアント認証編】』の一部を文書化したものです。勉強会の動画は公開しており、X.509 証明書については『#4 X.509 証明書（１）』と『#5 X.509 証明書（２）』で解説しているので、動画解説のほうがお好みであればそちらをご参照くださ
Master Canary Forging: 新しいスタックカナリア回避手法の提案 by 小池 悠生 - CODE BLUE 2015
0. 短いまとめ OpenSSL-1.1.0dに脆弱性(CVE-2017-3733)が見つかり、Encrypt-Then-Mac と renegotiation を組み合わせて crashさせることができました。 この脆弱性は、仕様の準拠不足や不適切な変数の cast などが原因でした。 TLS1.3ではこういう落とし穴が少なくなるよう機能の根本的な見直しが行われています。 1. はじめに 先週 OpenSSL-1.1.0d に対してセキュリティアップデートがあり、 Encrypt-Then-Mac renegotiation crash (CVE-2017-3733)という脆弱性(Severity: High)が公開されました。 対象となった 1.1.0 は、昨年2016年8月にリリースされたOpenSSLの新しいリリースブランチです。1.1.0ではAPIの大幅変更もあり、まだあまり普及
Linux Daily Topics 2016年10月18日軽量かつ安全なディストロを目指して ―Alpine Linux、OpenSSLからLibreSSLへ DockerやIoTの普及に伴い、オペレーティングシステムとしての軽量さをウリにするLinuxディストリビューションが注目される機会が増えているが、その中でもここ1年ほどの間に急激に人気が高まっているのがAlpine Linuxだ。「Small. Simple. Secure. ―小さく、シンプルに、そしてセキュアに」を開発方針に掲げるAlpine Linuxの最新バージョンは9月にリリースされたAlpine 3.4.4、そのサイズはわずか5Mバイトと、まさに"ミニマリストのためのOS"である。 そのAlpine Linuxが10月10日（米国時間）、ある大きな決断を発表した。これまで通信用ソフトウェアとして採用してきたOp
各位 JPCERT-AT-2016-0038 JPCERT/CC 2016-09-28 <<< JPCERT/CC Alert 2016-09-28 >>> OpenSSL の脆弱性 (CVE-2016-6309) に関する注意喚起 https://www.jpcert.or.jp/at/2016/at160038.html I. 概要 OpenSSL Project が提供する OpenSSL には脆弱性 (CVE-2016-6309) があります。 遠隔の第三者が、脆弱性を悪用するように細工したメッセージを送信することで、 OpenSSL を実行しているサーバにおいて、任意のコードを実行されたり、サービス 運用妨害 (DoS) 攻撃が行われるなどの可能性があります。 影響を受ける脆弱性の詳細については、OpenSSL Project の情報を確認してくだ さい。 OpenSSL Pro
[prev in list] [next in list] [prev in thread] [next in thread] List: openssl-announce Subject: [openssl-announce] Forthcoming OpenSSL releases From: OpenSSL <openssl () openssl ! org> Date: 2016-04-28 13:20:13 Message-ID: alpine.LFD.2.20.1604281419530.24508 () localhost ! localdomain [Download RAW message or body] -----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 Forthcoming OpenSSL releases ======
初稿ではAVX2による効果ではないかと記述をしておりましたが、stitchedではなく、multi bufferのサポートやその他要因が混合しており数値検証が完全ではないという指摘をいただきました。 記事内容の訂正を行います。検証が不十分なままの掲載となり申し訳ございません。また、数値や技術的な裏付けは今後再検証を進めていこうとおもいます。 サイトオペレーション本部（＊1）を兼務させていただいている匿名希望の社員Mです。 私はハードウエアとソフトウエアの両面から指数関数的に増えるデータ処理にコツコツ対応する仕事をやっております。 今回の取り組みは以下の投稿に影響を受けた取り組みです。 Accelerating SSL Load Balancers with Intel® Xeon® v3 Processors https://software.intel.com/en-us/article
2016年3月1日(現地時間)、OpenSSL プロジェクトは脆弱性の愛称「DROWN」や「CacheBleed」を含む8件の脆弱性情報を公開し、これら影響を受けるものの修正を行った最新版をリリースしました。ここでは関連情報をまとめます。 脆弱性情報概要 注意喚起 OpenSSL の複数の脆弱性に関する注意喚起 - JPCERT/CC SSLv2 DROWN Attack - US-CERT OpenSSL Projectの公開情報 Forthcoming OpenSSL releases OpenSSL Security Advisory ［1st March 2016］ OpenSSL version 1.0.1s published OpenSSL version 1.0.2g published An OpenSSL User’s Guide to DROWN 2016年3月1日公
Overview CacheBleed is a side-channel attack that exploits information leaks through cache-bank conflicts in Intel processors. By detecting cache-bank conflicts via minute timing variations, we are able to recover information about victim processes running on the same machine. Our attack is able to recover both 2048-bit and 4096-bit RSA secret keys from OpenSSL 1.0.2f running on Intel Sandy Bridge
米Amazon.com傘下でクラウドサービスを提供するAmazon Web Services（AWS）は6月30日、オープンソースのTLS（Transport Layer Security）実装「s2n（Signal-to-Noise）」プロジェクトを発表した。シンプル、軽量、小型を特徴とし、OpenSSLの複雑さの解決を図るという。 AWSでは提供するすべてのAPIでTLSを利用しているほか、「Amazon S3」「Elastic Load Balancing（ELB）」などのサービスで顧客に直接TLSを提供しているという。しかしここ数年TLSアルゴリズムの欠陥が注目を集めることが多くなっており、これを受けてs2nへの取り組みを開始したという。TLSの課題としてプロトコルが複雑になりコード行数が膨れていることを指摘、TLS実装の簡素化を目標とする。s2nはOpenSSLを置き換えるもので
輸出グレードのRSA暗号をサポートしていたことに起因する脆弱性FREAKに関する情報について関連情報をまとめます。 脆弱性概要 脆弱性の概要情報は次の通り。 愛称 FREAK (Factoring attack on RSA-EXPORT Keysの略) 輸出グレード暗号の強制使用に関する呼称 アイコン 無し CVE OpenSSL：CVE-2015-0204 Apple：CVE-2015-1067 Microsoft：CVE-2015-1637 発見者名 miTLS Inria(フランス国立情報学自動制御研究所)とMicrosoft Researchの合同チーム FREAK Attackの概要 中間者攻撃が行われるまでのFREAK Attackの流れは次の通り。(3月6日更新) MITMの攻撃成立条件 以下の条件が成立する場合、通信内容の盗聴や改ざんの影響を受ける可能性がある。 接続元・
OpenBSD FoundationのLibreSSL開発チームは7月11日、OpenSSLからフォークしたSSL実装「LibreSSL 2.0.0」のPortable版（マルチプラットフォーム対応版）をリリースした。早期リリースという位置付けで、今後はフィードバックを求めて改善につなげる意向だ。 LibreSSLは4月に明らかになったOpenSSLの脆弱性（通称Hertbleed）に関連する諸問題を発端として、OpenBSDプロジェクトが4月末に開始したプロジェクト。OpenSSLのコードのリファクタリングやクリーンナップを行い、安全性や安定性の高いSSL/TLSプロトコルのフリー実装を開発することを目的とする。プロジェクト発表時には「1週間で半分以上のOpenSSLソースツリーを削除した」ことも公にされていた。 その後、標準ライブラリを使ったメモリ管理やFIPS（Federal Inf
グーグルがOpenSSLのforkを発表、独自の実装にOpenSSL側の変更をマージする体制を採る。OSSでの展開はしない方針だという。 米グーグルが、オープンソースのSSL/TLS実装「OpenSSL」から新プロジェクトの「BoringSSL」を派生させた。同社の研究者アダム・ラングリー氏が2014年6月20日、自身のブログ「ImperialViolet」で明らかにした。 ラングリー氏によると、グーグルでは「Heartbleed」と呼ばれる重大な脆弱性が発覚する以前からOpenSSLのコードを検証し、何年にもわたって多数のパッチを使用してきた。この中にはOpenSSLのメインレポジトリに採用されたものもある一方で、OpenSSLが保証するAPIやABIの安定性とかみ合わないものや、やや実験的過ぎるものも多かったという。 しかし、AndroidやChromeなどの製品でそうしたパッチのサブ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
