Heartbleed（CVE-2014-0160）

何が起きた

暗号化通信に使われるソフトウェア「OpenSSL」のTLSとDTLSの機能に、Heartbeat拡張という仕組みのデータを正しく扱えない弱点がありました。攻撃者が細工したデータを送ると、決められた範囲を超えてメモリーが読み出され（バッファーの読み過ぎ）、プログラムのメモリーにある大切な情報を手に入れられてしまいます。秘密鍵を読み出せることも示されています。ネットワーク越しに、特別な権限なしで悪用できます。この脆弱性は、実際に悪用が確認されたものとしてKEVに載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

OpenSSL 1.0.1 から、1.0.1g より前までのバージョンを使っているシステムが影響を受けます。OpenSSLのTLSやDTLSの機能を使って通信している機器やサーバーが対象です。

何をすればいい

古い事例ですが、今でも 1.0.1 から、1.0.1g より前までのOpenSSLが使われていないか確認してください。見つかった場合は、メーカー（ベンダー）の案内に従って更新してください。詳しくは、OpenSSLや製品メーカーの公式情報を確認してください。

用語メモ

OpenSSL

インターネットの暗号化通信（TLSなど）を行うために、広く使われているオープンソースのソフトウェアです。

TLS

通信を暗号化して、盗み見や改ざんを防ぐための仕組みです。Webサイトの「https」でも使われています。

バッファーオーバーリード

プログラムが、決められた範囲を超えてメモリーを読んでしまう不具合です。本来見えないはずの情報が漏れる原因になります。

秘密鍵

暗号化通信で使う、持ち主だけが知っているべき鍵となるデータです。漏れると、通信を盗み見られたり、なりすまされたりするおそれがあります。