OpenSSL の Heartbleed Bug に注意 (CVE-2014-0160)

昨日から OpenSSL の Heartbleed Bug が騒ぎになっています。
この脆弱性は秘密鍵を盗まれる可能性がある深刻なもの^*1*2なもののようです。

TLS heartbeat read overrun (CVE-2014-0160) OpenSSL Security Advisory [07 Apr 2014]

A missing bounds check in the handling of the TLS heartbeat extension can be used to reveal up to 64k of memory to a connected client or server.
Only 1.0.1 and 1.0.2-beta releases of OpenSSL are affected including 1.0.1f and 1.0.2-beta1.

詳細については NVD や JVN 、JPCERT/CC などのアドバイザリにまとまっているので一読しておいた方がよいでしょう。

• National Vulnerability Database (NVD) National Vulnerability Database (CVE-2014-0160)
• JVNVU#94401838: OpenSSL の heartbeat 拡張に情報漏えいの脆弱性
• OpenSSL の脆弱性に関する注意喚起

以下、個人用の作業メモ。

† OpenSSL のバージョン確認方法

上記のとおりこの脆弱性は 1.0.1～1.0.1f と 1.0.2-beta1 に存在します。
OpenSSL のバージョンについては下記のような感じで確認できます。

† 確認用のサービス

確認用のサービスもあるようですが、自分が管理者でないサーバに対しては絶対に試してはいけません。

• Test your server for Heartbleed (CVE-2014-0160)

† RHEL / CentOS への影響

さしあたり、OS としては RHEL や CentOS では 6.x 系統に影響があるようです。

• RHSA-2014:0376-1 Important: openssl security update
• [CentOS-announce] CESA-2014:0376 Important CentOS 6 openssl Update

† OpenVPN への影響

OpenVPN についても Windows 版のアップデートがリリースされています。

• OpenVPN 2.3.2 Windows build I004 リリース | OpenVPN.JP

• ^*1: [ビデオ]OpenSSLのバグ“Heartbleed”ってどんなの？ | TechCrunch Japan
• ^*2: 該当する場合はアップデートとサーバー証明書の再発行を：OpenSSL 1.0.1／1.0.2系に脆弱性、秘密鍵漏えいの恐れも - ＠IT