OpenSSL Project より、<a href="https://www.openssl.org/news/secadv/20230322.txt"target="blank">Excessive Resource Usage Verifying X.509 Policy Constraints (CVE-2023-0464)</a> が公開されました。 OpenSSL には、次の脆弱性が存在します。 深刻度 - 低（Severity: Low） OpenSSL のポリシー制限が含まれている X.509 証明書チェーンの検証においてリソースが過剰に消費される問題があります。 ポリシー処理はデフォルトで無効になっており、コマンドラインユーティリティに「-policy」引数を渡すか、「X509_VERIFY_PARAM_set1_policies()」関数を呼び出すことにより有効にできます。

[修正を適用する] 開発者によると、本脆弱性の深刻度が低であるため、2023 年 3 月 23 日現在、正式リリースは提供されておらず、以下のコミットで修正されているとのことです。 　* commit 2017771e（3.1 ユーザ向け） 　* commit 959c59c7（3.0 ユーザ向け） 　* commit 879f7080（1.1.1 ユーザ向け） 　* commit 2dcd4f1e（1.0.2 プレミアムサポートカスタマ向け） 　 なお、以下のリリース提供後のアップグレードが必要とのことです。 　* OpenSSL 3.1.1（3.1 ユーザ向け） 　* OpenSSL 3.0.9（3.0 ユーザ向け） 　* OpenSSL 1.1.1u（1.1.1 ユーザ向け） 　* OpenSSL 1.0.2zh（1.0.2 プレミアムサポートカスタマ向け） また、OpenSSL 1.1.1 は 2023 年 9 月 11 日にサポートが終了し、以降のセキュリティ修正は、プレミアムサポートカスタマのみに提供されるとのことです。