HOME>製品サポートWeb>重要なお知らせ>OpenSSLの脆弱性につきまして Solaris版
OpenSSLの脆弱性につきまして Solaris版
平素より弊社製品に格別のご愛顧を賜り、厚く御礼申し上げます。

株式会社 CSK Winテクノロジ より販売しております Solaris 版 Sendmail 製品にて 使用しているOpen SSLにつきまして、脆弱性の報告がありましたので、 弊社Sendmail製品への影響を下記の通りご説明申し上げます。

1. 脆弱性の内容
http://www.openssl.org/news/secadv_20101116.txt
TLS Server Extensionのコード解析にてバッファオーバーラン攻撃を受ける恐れがあります。

2. 影響を受ける範囲
TLS Server Extensionをサポートする全てのバージョン(0.9.8f through 0.9.8o, 1.0.0, 1.0.0a)のOpenSSLの内、
マルチスレッドでOpen SSLの内部キャッシュメカニズムを利用する全てのTLSサーバが影響を受けます。
OpenSSLの内部キャッシュメカニズムを利用しないApacheサーバは影響を受けません。

3. 製品への影響
ご利用のSendmail製品により、影響が異なります。

■Sendmail Single Switch 3.1J Solaris もしくは Sendmail Mailstream Switch/MTA 3.xJ Solaris
sendmailプロセスはマルチスレッドプログラムではありませんので、この脆弱性の影響は受けません。 また、GUIもApacheを利用しておりますが、このTLSのキャッシュ機能は利用していないため、 この脆弱性の影響を受けません。 これら以外のコンポーネントにおいて、この脆弱性の影響を受ける 箇所はございません。


■Sendmail Advanced Message Server 2.1J Solaris
Sendmail Single Switchと同様、sendmailプロセスはマルチスレッドプログラムではありませんので、 この脆弱性の影響は受けません。 また、GUIもApacheを利用しておりますが、このTLSのキャッシュ機能は利用していないため、 この脆弱性の影響を受けません。 これら以外のコンポーネントにおいて、この脆弱性の影響を受ける 箇所はございません。


■Sendmail MailCENTER 3.xJ Solaris
以下のコンポーネントにおいて、この脆弱性の影響を受けます。

・ Sendmail Directory
この脆弱性の影響を受けます。直接的にはプログラムの更新が必要ですが、以下の環境下であれば、 この脆弱性の影響を受けることがありません。
- ファイアウォール内やアクセスが限定される環境下に SMDが配置、利用されている場合
- TLSを利用しない場合

該当製品をお持ちのお客様には、プログラムの更新パッチについて、用意ができ次第ご連絡差し上げます。

・ mstore
この脆弱性の影響を受けます。しかしながら、Mstoreの設定ファイル/etc/mail/store/ms.confに 以下の設定を追記し、サービスを再起動することでこの問題を回避することができます。

[追記する文字列]
tls-cache-size -1

[サービスの再起動コマンド]
/etc/init.d/rc.m-store restart

サービスの再起動時には、数秒〜数十秒ではありますが、POP/IMAP/LMTPアクセスが行えなくなります。


4. 本メールの対象製品
Sendmail Single Switch 3.1J Solaris
Sendmail Mailstream Switch/MTA 3.xJ Solaris
Sendmail Advanced Message Server 2.1J Solaris
Sendmail MailCENTER 3.xJ Solaris


本件に関するお問い合わせは以下までお願いいたします。

CSK Winテクノロジ テクニカルサポートセンター
mailto:TechSales@cskwin.com