POODLE脆弱性がSSL 3.0からTLS 1.0 / TLS 1.1に拡大
2014年10月15日、「お客様への重要なお知らせ」にてご報告した『SSL 3.0に関する脆弱性について (Padding Oracle On Downgraded Legacy Encryption)』では、SSL 3.0プロトコルにのみ影響があるとされていました。しかし、このたび一部のTLS 1.0 / TLS 1.1においても、SSLで保護されたウェブサイトとブラウザの間で、ハッカーの通信傍受や暗号解読が可能であることがわかりました。 TLSパケット内で利用されているパディング構成を適切にチェックしていない実装がされている場合、この脆弱性の影響を受けます。今のところ、F5ネットワークスとA10ネットワークスのロードバランサでTLS接続をハンドルしているウェブサイトで、この脆弱性が発見されています。 より技術的な知見はGoogleセキュリティエンジニアAdam Langleyの投稿『T
SSLv3脆弱性「POODLE」、TLSにも影響--グーグルの専門家が指摘
Googleに所属するSSL専門家のAdam Langley氏は米国時間12月8日、自身のブログで多くのTLS実装に対して警告を出した。以前明らかになった、SSLバージョン3（SSLv3）に影響する「POODLE（Padding Oracle On Downgraded Legacy Encryption）」攻撃と同じような攻撃につながる脆弱性を含んでいるという。 SSLv3は、CBCモードの暗号でデータのパディングを効果的に特定しない。そのため、ブロック暗号の整合性をきちんと確認できず、「パディングオラクル攻撃」を可能にしてしまう。SSLv3の後、仕様はTLSと改名され、バージョン1になった。TLSv1の変更点の1つとして、パディングオラクル攻撃を防ぐためのパディング処理を改善した。 だが、TLS実装でもパディングバイトのチェックは完全ではないという。多くのTLS実装がSSLv3ソフトウ
SSLv3 の脆弱性 POODLE への対策を行う (SSLv3の無効化) : アジャイル株式会社
技術情報 ※ここでの記事は、筆者が独自に調査、検証したものであり、内容を保証するものではありません。 記事の内容を業務等で利用する場合は自己責任でお願いします。
JVNVU#98283300: SSLv3 プロトコルに暗号化データを解読される脆弱性(POODLE 攻撃)
SSL v3 をサポートするプログラムは、中間者攻撃が可能な環境で、Padding Oracle On Downgraded Legacy Encryption (POODLE) 攻撃の影響を受ける可能性があります。 OpenSSL をはじめとする SSL v3 をサポートするソフトウェアが本脆弱性の影響を受ける可能性があります。 [2014年12月11日 - 追記] TLS を実装している製品においても、本脆弱性の影響を受ける場合があることが公開されました。 SSL v3 プロトコルに対して、中間者攻撃により通信内容を解読する攻撃手法が報告されています。この攻撃手法は "POODLE" (Padding Oracle On Downgraded Legacy Encryption) と呼ばれています。 ウェブブラウザ等のプログラムの多くでは、上位のプロトコルで通信できない場合にプロトコル
SSL 3.0 の脆弱性 （POODLE） 対策で Web サーバの SSL 3.0 を無効にした件とブラウザ側の対処まとめ
SSL 3.0 の脆弱性 （POODLE） 対策で Web サーバの SSL 3.0 を無効にした件とブラウザ側の対処まとめ SSL 3.0 に存在する脆弱性、通称 「POODLE」 に関連して、自分が管理している Web サーバ （Apache） の SSL 3.0 を無効にした際の設定方法と、各ブラウザごとに SSL 3.0 を無効にする方法などをまとめています。 2014年 10月 14日 に発表された「Secure Sockets Layer（SSL）」のバージョン 3.0 （SSL 3.0） に存在する脆弱性 （CVE-2014-3566）、通称 「POODLE （Padding Oracle On Downgraded Legacy Encryption）」 ですが、これに関連して、自分で管理している Web サーバ （Apache） の SSL 3.0 を無効にしました。 そ
SSL 3.0に深刻な脆弱性が見つかる | スラド セキュリティ
Googleのセキュリティチームが、SSL 3.0に深刻な脆弱性が存在することを発見、その詳細について発表した（Google Online Security Blog、ITmedia、詳細について解説したPDF）。 この脆弱性は「POODLE」と呼ばれており、悪用するとパスワードやCookieに不正にアクセスできるという。対策としては、SSL 3.0の利用を停止することが挙げられている。 SSL 3.0は1995年に発表された技術であり、Netscape Navigator 2.0において実装されて以来、現在ではほぼすべてのWebブラウザで利用できるようになっている。とはいえ、現在ではより改良が進められたTLSがほとんどのWebブラウザで利用可能であり、SSL 3.0を積極的に利用する理由はない。そのため、ChromeではすでにSSL 3.0のサポートを廃止しており、またMozillaもF
【Twitterまとめ】SSL 3.0の深刻な脆弱性「POODLE（プードル）」について
Googleが発見したSSL 3.0の脆弱性「POODLE（プードル）」は、悪用するとパスワードやクッキーにアクセスできてしまいます。問題の「SSL 3.0」は15年前のバージョンです。ただ、現在も多くのWebサイトで使用されており、またWebブラウザの多くでもサポートしています。 Googleは現地時間の10月14日、SSL 3.0の深刻な脆弱性「POODLE（Padding Oracle On Downgraded Legacy Encryptionの略）」の発見とその対策についてのアナウンスを行いました。 Googleをはじめ、Microsoft、OpenSSLなどが公式ブログなどでこの問題についての情報を公開しています。 ▶︎Google Online Security Blog: This POODLE bites: exploiting the SSL 3.0 fallback
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Microsoft、「Internet Explorer 11」の“SSL 3.0”フォールバック機能を無効化
「Firefox」の“SSL 3.0”対応を無効化できる拡張機能「SSL Version Control」NOT SUPPORTED
「SSL 3.0」に、Webサイト上の個人情報を盗まれる「POODLE」脆弱性（Google） | ScanNetSecurity
https://dev.classmethod.jp/articles/cve-2014-3566-poodle-issue/
OpenSSL における POODLE SSLv3.0 脆弱性問題の解決方法 (CVE-2014-3566) - Red Hat Customer Portal