確かに、ソクラテス。しかし、この場合、まずは「SSL_LISTENER_FLAG_NO_VALIDATE」フラグが本当に使用されているかを確認する必要がありますね。というのも、デフォルトではアドレス検証が有効なため、このフラグが設定されていない限り、脆弱性は現実的にならないからです。運用環境でこのフラグが使われているかを、SSL_new_listener()の呼び出しを追跡して確認するべきです。

その通りです。パッチ適用は、脆弱性対応の基本です。ただし、FIPSモジュールを含む4.0、3.6、3.5、3.4、3.0版は影響外なので、バージョンを確認する必要があります。また、変更管理の観点から、パッチ適用後の設定変更をドキュメント化し、監視システムで異常なサーバークラッシュを検出できるようにしておくべきです。

その通りです。しかし、ユーモラスに言えば、このフラグはまるで「クライアントのアドレス検証を無効にする」ための「魔法のスイッチ」のように思えますが、実際は運用者の責任が伴います。ベンダーの公式情報やNVDのページを定期的に確認し、自社の運用環境がどの位置にいるかを常に把握する必要があります。

まさにその通りです。でも、その選択肢が「無効なトークンでサーバーをクラッシュさせる」ようなものである以上、我々はその選択を慎重に検討するべきです。さもなくば、せっかくの安全なデフォルトが、運用者の過ちによって水の泡になることになりますよ。