[Release notes] CVE-2014-0224:OpenSSL のセキュリティ脆弱性

Created:

2016-11-16 12:44:20 UTC

Modified:

2017-07-12 08:43:55 UTC

0

Was this article helpful?


Have more questions?

リクエストを送信

[Release notes] CVE-2014-0224:OpenSSL のセキュリティ脆弱性

Applicable to:

  • Plesk
  • Virtuozzo 6.0
  • Virtuozzo containers for Linux 4.7
  • Virtuozzo containers for Linux 4.6
  • Virtuozzo containers for Windows 4.6
  • Virtuozzo hypervisor
  • Virtual Automation
  • Operations Automation 5.5
  • Operations Automation 5.4
  • Operations Automation 5.0
  • Plesk Automation 11.5

情報

2014 年 6 月 5 日、OpenSSL グループが脆弱性アラートを発信しました。この脆弱性 CVE-2014-0224 についての詳細は、Open SSL のウェブサイトにてご確認ください。

バージョン 0.9.8、1.0.0、および 1.0.1 について、修正バージョンが提供されています。

  • OpenSSL 0.9.8 SSL/TLS ユーザ(クライアントおよび/またはサーバ)を 0.9.8za にアップグレードする必要があります。
  • OpenSSL 1.0.0 SSL/TLS ユーザ(クライアントおよび/またはサーバ)を 1.0.0m にアップグレードする必要があります。
  • OpenSSL 1.0.1 SSL/TLS ユーザ(クライアントおよび/またはサーバ)を 1.0.1h にアップグレードする必要があります。

Windows 版

この脆弱性は、PACI による管理用に Parallels Dispatcher がインストールされ、なおかついくつかのコンポーネントが脆弱な OpenSSL バージョンでコンパイルされている Parallels Containers for Windows に影響を与えます。次回のホットフィックスには、更新済み OpenSSL が含まれます。

Linux 版

この脆弱性は、システム内の OpenSSL に依存するほとんどのサービス(特に Apache ベースのもの)や、以下のいずれかのディストリビューションを使用して作成されたシステムに影響を与えます。

  • Debian Wheezy(stable)(脆弱バージョン OpenSSL 1.0.1e-2+deb7u7 以前 、修正済バージョン OpenSSL 1.0.1e-2+deb7u10 )
  • Ubuntu 14.04 LTS(脆弱バージョン OpenSSL 1.0.1f-1ubuntu2.1 以前 、修正済バージョン OpenSSL 1.0.1f-1ubuntu2.2 )
  • Ubuntu 13.10(脆弱バージョン OpenSSL 1.0.1e-3ubuntu1.3 以前 、修正済バージョン OpenSSL 1.0.1e-3ubuntu1.4 )
  • Ubuntu 12.04 LTS(脆弱バージョン OpenSSL 1.0.1-4ubuntu5.13 以前 、修正済バージョン OpenSSL 1.0.1-4ubuntu5.14 )

    Debian/Ubuntu のパッケージバージョンは、次のコマンドを使用して確認することができます。

    ~# dpkg -l openssl
  • RedHat、CentOS、CloudLinux 6.5(脆弱バージョン OpenSSL 1.0.1e-16.el6_5.7 以前 、修正済バージョン OpenSSL 1.0.1e-16.el6_5.14 )
  • Fedora 19(修正済バージョン OpenSSL 1.0.1e-38.fc19 )
  • Fedora 20(修正済バージョン OpenSSL 1.0.1e-38.fc20 )

    Redhat/CentOS および Fedora のパッケージバージョンは、次のコマンドを使用して確認することができます。

    ~# rpm -q openssl

解決策

ハードウェアノードの更新

OS ベンダーが修正を発行しており、すべてのディストリビューションに組み込まれています。新しい openssl パッケージバージョンをインストールすることにより、OpenSLL アップデートを適用する必要があります。

~# yum clean all; yum update openssl

注意:PSBM、PCS、および PVC for Windows では、Dispatcher との内部通信のみに SSL を使用しています。このため、情報漏えいのリスクが大幅に低くなっていますが、他のサードパーティサービスで使用されている可能性もあるため、SSL に対する修正を適用することを推奨します。

PVA Power Panel および PVA MN

Parallels Virtual Automation では、脆弱性のないバージョンの OpenSSL を使用しており、また、ウェブベースのサービスのためにシステム OpenSSL を Apache 経由で使用しています。

PVA Power Panel では、ホスト上で機能する Apache ウェブサーバを使用しており、OpenSSL の更新および ハードウェアノード での Apache の再起動が必要になります。

~# service httpd restart

PVA 管理ノードでは、インストール先システムの Apache および OpenSSL を使用しており、タイプに応じたインストールの更新とサービスの再起動が必要になります。

  • コンテナ内:

    ~# vzctl update CTID
  • 仮想マシン内または物理サーバ上:

    ~# yum clean all; yum update

コンテナに修正を適用する

  1. 既存のコンテナの場合:

    ~# vzpkg update CTID

    または、1 つのパッケージのみの場合:

    ~# vzpkg install CTID -p openssl
  2. OS テンプレートキャッシュを再作成する必要があります。

    ~# vzpkg update cache DISTR-VER-ARCH

アップデートを適用後、OpenSSL に依存するすべてのサービスを再起動します。

  • SSH サーバ、OpenVPN、Apache を再起動します。
  • OpenSSL に依存するホスト OS 上で機能する他のすべてのサービスを再起動します。
他にご質問がございましたら、リクエストを送信してください
ログインしてコメントを残してください。