OpenSSL、カスタム暗号の作成でNULL暗号化が発生する脆弱性

JPCERTコーディネーションセンター(JPCERT/CC: Japan Computer Emergency Response Team Coordination Center)は10月12日、「JVNVU#92530096: OpenSSLのNID_undefを使用したカスタム暗号におけるNULL暗号化の脆弱性」において、OpenSSLにNULL暗号化が発生する可能性のある脆弱性が報告されていると伝えた。OpenSSLでNULL暗号を使用した場合、暗号文として平文が出力されるため、機密情報の流出につながる危険性がある。

脆弱性の詳細は、OpenSSLプロジェクトによる次のセキュリティアドバイザリにまとめられている。