KEMP社製品 CVE-2014-8730 セキュリティ情報
2015/07/10
KEMP Technologies社からセキュリティ情報が発表されました。
アナウンスされたサイトは以下のURLです。
https://support.kemptechnologies.com/hc/en-us/articles/202854149-POODLE-and-TLS-CVE-2014-8730
以下は、文面の要訳です。
CVE-2014-8730の脆弱性は、POODELアタックがTLSに対して使われたことで発見されました。CVE-2014-3566で定義されるPOODLEアタックは、SSL v3が特別なフォーマット(最終バイトを除いた長さ)においてパディングを求めないことで、アタッカーに対して自身を公開してしまうという問題です。しかし、厳格なパディング形式に則ったTLSでさえ、いくつかの実装では復号後のパディング構築を排除しています。このような実装は、TLSであっても脆弱性があります。
KEMP社のLoadMasterは、7.1-20b以降では、CVE-2014-8730に対する脆弱性はありません。しかし、以下の概略にある、POODLEに対する対応は未だに重要です。
CVE-2014-3566 POODLEの脆弱性
この脆弱性に対応する調査は、LoadMaster バージョン7.0-10においても行っております。
関連する情報は以下を参照してください。
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-8730
https://community.qualys.com/blogs/securitylabs/2014/12/08/poodle-bites-tls