OpenSSL には、証明書チェーンの検証不備の脆弱性が存在します。 2015年7月9日、OpenSSL Project より OpenSSL Security Advisory [9 Jul 2015] が公開されました。 OpenSSL Security Advisory [9 Jul 2015] https://www.openssl.org/news/secadv_20150709.txt アドバイザリによると、次に挙げる脆弱性が修正され、修正版の OpenSSL 1.0.2d、1.0.1p がリリースされています。 深刻度−高 (Severity: High) ･ Alternative chains certificate forgery (CVE-2015-1793) OpenSSL は、証明書の検証において最初の証明書チェーンの構築に失敗した場合、代替の証明書チェーンの構築を試みますが、この処理の実装には不備があります。その結果、例えば CA フラグが FALSE とされている証明書を使って発行された証明書を、不正なものであると検知せず、信頼している CA によって発行された証明書として扱ってしまう可能性があります。

[アップデートする] 本脆弱性を修正した次のバージョンの OpenSSL が提供されています。開発者が提供する情報をもとに、最新版へアップデートしてください。 ･ OpenSSL 1.0.2d ･ OpenSSL 1.0.1p 最新版 https://www.openssl.org/source/ [JPCERT/CC からの捕捉情報] OpenSSL Security Advisory 末尾の注記 (Note) にもある通り、OpenSSL バージョン 1.0.0 と 0.9.8 のサポートは 2015年12月31日で終了します。これらのバージョンのユーザは、アップデートをご検討ください。 As per our previous announcements and our Release Strategy (https://www.openssl.org/about/releasestrat.html), support for OpenSSL versions 1.0.0 and 0.9.8 will cease on 31st December 2015. No security updates for these releases will be provided after that date. Users of these releases are advised to upgrade.