原文

OpenSSL Project より、OpenSSL Security Advisory [3rd September 2024] （"Possible denial of service in X.509 name checks (CVE-2024-6119)"）が公開されました。 深刻度−中 (Severity：Moderate) OpenSSL を用いるアプリケーションにおいて X.509 サーバ証明書の検証を行う際、Subject Alternative Name フィールド内の otherName の検証時に誤ったメモリアドレスを参照してアクセスエラーが生じる問題 (CWE-843、CVE-2024-6119) が報告されています。 なお本脆弱性は、証明書チェーンの検証には影響を与えません。一般的に TLS サーバがクライアント証明書を要求することは少なく、要求する場合においても識別子に対する名前のチェックは行われないため、影響は限定的となります。