それはですね、CMS暗号解読処理が特定の条件でバッファーオーバーフローを引き起こすからです。たとえば、CMS_decrypt()やCMS_decrypt_set1_password()を使っている場合、不正なデータが送られてきたとき、メモリ境界を越えて読み込むことでクラッシュが発生します。情報漏洩は起こらないけど、サービス停止のリスクがあるんです。

まず、自社のシステムでCMS_decrypt()やCMS_decrypt_set1_password()を用いる処理が存在するかを確認する必要があります。これらが使われている場合、不正なデータを処理する設定やパッチ適用を検討すべきです。また、FIPSモジュールは影響を受けないため、それらの環境は対象外かもしれません。

もちろんです。変更管理の観点から、パッチ適用後にシステムの挙動が正常かをテストする必要があります。また、監視の観点では、異常なメモリ使用量やクラッシュの発生を監視する仕組みを整えるべきです。ベンダー情報も確認し、パッチの出荷状況や適用手順を明確にしましょう。

影響調査としては、CMSデータの処理が実際にどのくらいの頻度で行われているかを確認し、その処理が無認証のデータを許容しているかをチェックしましょう。また、パッチ適用の前に、攻撃者が送信する可能性のある不正な暗号化アルゴリズムが使用されているかを模擬的にテストするのも有効です。

ユーモアを交えて言いますが、この脆弱性は「静かな刺客」です。気づかないうちにサービスを停止させる可能性があります。だからこそ、定期的な確認とパッチ適用が重要です。それと、ベンダーの情報確認は「忘れるな」がモットーです。