概要
OpenSSLには、次の脆弱性が報告されています。
- X.400 address type confusion in X.509 GeneralName
CVE-2023-0286 (Severity: High)
- Timing Oracle in RSA Decryption
CVE-2022-4304 (Severity: Moderate)
- X.509 Name Constraints Read Buffer Overflow
CVE-2022-4203 (Severity: Moderate)
- Use-after-free following BIO_new_NDEF
CVE-2023-0215 (Severity: Moderate)
- Double free after calling PEM_read_bio_ex
CVE-2022-4450 (Severity: Moderate)
- Invalid pointer dereference in d2i_PKCS7 functions
CVE-2023-0216 (Severity: Moderate)
- NULL dereference validating DSA public key
CVE-2023-0217 (Severity: Moderate)
- NULL dereference during PKCS7 data verification
CVE-2023-0401 (Severity: Moderate)
WebOTX Webサーバでは、SSL(HTTPS)通信を実現するmod_sslモジュールでOpenSSLのライブラリをリンクしています。調査の結果、SSL(HTTPS)通信を利用する設定としている場合、OpenSSLをリンクするWebOTX Webサーバにおいて、上記脆弱性のうち、CVE-2023-0286、CVE-2022-4304、CVE-2023-0215、CVE-2022-4450の影響を受けることが判明しています。
なお、Apache HTTP Server 2.4より前のバージョンについては、サポートが終了していますので、WebOTXとしてもパッチの提供予定はありません。
影響のある製品
【CVE-2023-0286】
【CVE-2022-4304】
【CVE-2023-0215】
- WebOTX Application Server Express V8.2～V11.1
- WebOTX Application Server Standard V8.2～V11.1
- WebOTX Application Server Enterprise V8.2～V9.6
- WebOTX SIP Application Server Standard Edition V8.13
- WebOTX Application Server Standard Extended Option V11.1
(※)WebOTX Enterprise Service Bus V8.2～V8.5、V9.2、V9.3、V10.1、V10.3、WebOTX Portal V8.2～V8.4、V9.1、V9.3、V10.1、V10.4にバンドルされているWebOTX Application Server Expressを使用している場合にも該当します。
(※)V8.2～V9.3はOpenSSLのバージョン1.0.2のWebサーバパッチモジュールを適用している場合に該当します。
【CVE-2022-4450】
- WebOTX Application Server Express V9.3～V11.1
- WebOTX Application Server Standard V9.3～V11.1
- WebOTX Application Server Enterprise V9.3～V9.6
- WebOTX Application Server Standard Extended Option V11.1
(※)WebOTX Enterprise Service Bus V9.3、V10.1、V10.3、WebOTX Portal V9.3、V10.1、V10.4にバンドルされているWebOTX Application Server Expressを使用している場合にも該当します。
(※)V9.3～V10.2はOpenSSLのバージョン1.1.1のWebサーバパッチモジュールを適用している場合に該当します。
詳細
【CVE-2023-0286】
- 脆弱性の影響
攻撃者によりメモリ内のデータが読み取られたり、サービス拒否（DoS）攻撃を受けたりする可能性があります。
- 脆弱性に該当する条件
SSL(HTTPS)通信を行い、失効証明書リスト(CRL)チェックを有効にしている場合に影響を受ける可能性があります。
WebOTX Webサーバの既定の設定では、SSL(HTTPS)通信および、失効証明書リスト(CRL)チェックは無効となっており、利用しません。
【CVE-2022-4304】
- 脆弱性の影響
RSA暗号方式を利用している場合、攻撃者により暗号化された情報を復号化される可能性があります。
- 脆弱性に該当する条件
SSL(HTTPS)通信を行う場合に影響を受ける可能性があります。
WebOTX Webサーバの既定の設定では、SSL(HTTPS)通信は無効となっており、利用しません。
【CVE-2023-0215】
- 脆弱性の影響
攻撃者によりサービス拒否（DoS）攻撃を受ける可能性があります。
- 脆弱性に該当する条件
SSL(HTTPS)通信を行う場合に影響を受ける可能性があります。
WebOTX Webサーバの既定の設定では、SSL(HTTPS)通信は無効となっており、利用しません。
【CVE-2022-4450】
- 脆弱性の影響
攻撃者によりサービス拒否（DoS）攻撃を受ける可能性があります。
- 脆弱性に該当する条件
SSL(HTTPS)通信を行う場合に影響を受ける可能性があります。
WebOTX Webサーバの既定の設定では、SSL(HTTPS)通信は無効となっており、利用しません。
対処方法
回避方法
【CVE-2023-0286】
失効証明書リスト(CRL)チェックを無効にします。
設定手順は次の通りです。
----------------------------------------
- <WebOTXインストールディレクトリ>/domains/<ドメイン名>/config/WebServer/ssl.conf
をテキストエディタで開きます。
- SSLCARevocationCheckディレクティブ値をnoneに変更します。
設定例)
SSLCARevocationCheck chain ⇒ SSLCARevocationCheck none
- WebOTX Webサーバを再起動します。
otxadmin> login --user admin --password **** --port 6212
otxadmin> invoke server.WebServer.stop
otxadmin> invoke server.WebServer.start
----------------------------------------
【CVE-2022-4304】
【CVE-2023-0215】
【CVE-2022-4450】
回避方法はありません。
関連情報
本脆弱性問題の詳細は、次のURLを参照してください。
それ以外の脆弱性問題の詳細は、次のURLを参照してください。
更新履歴
2023/05/30 対処方法の更新
2023/04/26 対処方法の更新
2023/04/14 対処方法の更新
2023/03/03 初版
本サイトについてのご注意
- 弊社製品に関する正確なセキュリティ情報をご提供するよう努力しておりますが、それぞれの情報におきまして内容を予告なく変更することがありますので、あらかじめご了承ください。
- 本サイトに掲載した製品には他社の製品も含まれており、これらの製品の情報につきましては、他社から提供または公開された情報を基にしております。最新の情報につきましては製品開発元の情報を参照してください。
- 本サイトは弊社製品のセキュリティ情報の提供を目的としております。掲載情報に従い対応を行った（あるいは行わなかった）結果につきまして、弊社では責任を負いかねますのでご了承ください。
セキュリティ問題に関する情報は変化しておりますので、お客様には常に最新の情報をご確認いただけますようお願い申し上げます。