OpenSSLに重大な脆弱性（追記アリ） 19
ストーリー by nagazou
Highに変更 部門より
Highに変更 部門より
OpenSSLに最も重大な問題である深刻度「緊急」（CRITICAL）の脆弱性が発見された（「High」に変更された。追記参照）。今回発見された脆弱性の詳細は現時点では公開されていないが、OpenSSLプロジェクトが対応した緊急脆弱性としては、2014年に起きたHeartbleed問題「CVE-2014-0160」に続くものだとの指摘もあるようだ。リリース後には迅速なアップデートの適用が求められるとしている。これに対応するため、OpenSSLプロジェクトは日本時間の2022年11月1日22時~2日4時の間にセキュリティアップデートバージョン「OpenSSL 3.0.7」を公開する。なおバージョン1系は今回発見された脆弱性の影響を受けないとのこと（Forthcoming OpenSSL Releases、GIGAZINE、SecurityAffairs、TECH+）。
[追記]
1日にOpenSSL 3.0.7が公開された。修正された脆弱性はCVE-2022-3602とCVE-2022-3786の二つ。脆弱性の深刻度はCRITICALとなっていたが、悪用は比較的困難とのことから深刻度の評価は両方とも「High」に変更されたとのこと（OpenSSL ブログ、窓の杜）。
[追記]
1日にOpenSSL 3.0.7が公開された。修正された脆弱性はCVE-2022-3602とCVE-2022-3786の二つ。脆弱性の深刻度はCRITICALとなっていたが、悪用は比較的困難とのことから深刻度の評価は両方とも「High」に変更されたとのこと（OpenSSL ブログ、窓の杜）。
その後レベル引き下げ (スコア:3, 参考になる)
まともなメモリ保護してりゃ問題ねぇやとしてCRITICALからHIGHになってる
https://www.openssl.org/blog/blog/2022/11/01/email-address-overflows/ [openssl.org]
Re: その後レベル引き下げ (スコア:3)
深刻度評価が引き下げられてますね．タレコミも訂正すべきだと思います
-----
2022年11月2日15:00 追記
当初発表は深刻度CRITICALの判定であったが，追加検証でOSのスタックオーバーフロー保護機能があるかぎり悪用は困難という結論になり，深刻度はHIGHに引き下げられた．
----- こんな感じ？