2022.04.18
SUPPORT
OpenSSLの脆弱性に関する情報（CVE-2022-0778）
概要
該当するバージョンにおいて、OpenSSLの一部の関数の利用について、楕円曲線暗号の公開鍵、もしくは楕円曲線パラメータを含む証明書の構文解析を行う際に、不正なデータを受け渡すことで無限ループが発生し、サービス運用妨害（DoS）を引き起こす可能性があるという脆弱性が報告されています。
影響を受けない製品
・UPSS-SDB03-V/UPSS-SDB02シリーズ
本製品は脆弱性に該当するバージョンのOpenSSLを使用していないため、脆弱性の影響は受けません。
・UPSS-X2/A3シリーズ
・UPSS-RD8Boxシリーズ
本製品はOpenSSLを使用していないため、脆弱性の影響は受けません。
・IntegMonitor
本製品は動作上該当する関数を使用する楕円曲線パラメータの解析を行わないため、脆弱性の影響は受けません。
影響を受ける製品
・UPSS-SP-N2/N3シリーズ
本製品は該当するバージョンのOpenSSLを使用しているため、脆弱性に該当します。
対応方法
脆弱性による影響を緩和するために、製品に対してSSHサーバ機能の無効化を行うことが可能です。
※現時点では本脆弱性に対するファームウェアのアップデートは公開がございません事、ご了承ください。
SSHサーバ機能の無効化
製品のWebGUIにログインし「動作モード」メニューを開きます。
動作モードのラジオボタン「SSHサーバ機能」の「停止」選択します。
「設定」をクリックして動作状態を反映します。
動作状態の反映にはネットワークボードの再起動が必要になります。
「再起動/パラメータ保存/読出/初期化」メニューから「再起動実行」をクリックして再起動を実行します。
※ボードの再起動により、UPS本体の出力に影響はありません。
IntegMonitor等で死活監視を行っている場合、再起動中に疎通不可状態を検知する場合があります。
※シャットダウンシークエンスを設定されている場合、別の電源管理装置からのアクセス許可が必要になる場合があります。
シャットダウンシークエンスを設定されている場合はお手数ですが弊社までお問い合わせください。
参考文献
OpenSSL Security Advisory [15 March 2022] Infinite loop in BN_mod_sqrt() reachable when parsing certificates (CVE-2022-0778)