30秒で判断
- 対応すべき人：GnuTLS（3.7.2未満）をTLSクライアントとして利用しているアプリケーション・OSSの運用者
- 対応不要な人：GnuTLSを利用していない、または既に3.7.2以降を利用している方
- 確認コマンド：
gnutls-cli --versionまたはdpkg -l | grep gnutls等でバージョンを確認する
概要
TLSライブラリ GnuTLS で、クライアントが key_share 拡張を送信する処理にUse-After-Freeの欠陥があり、メモリ破損やクラッシュなど予期しない動作を引き起こす可能性がある脆弱性です。同種の欠陥（CVE-2021-20232、client_send_params関連）も同時に修正されています。
攻撃条件
| 項目 | 内容 |
|---|---|
| 攻撃元区分 | ネットワーク（TLSハンドシェイクを処理するサーバー側の応答に依存） |
| 必要な権限 | 不要 |
| ユーザー操作 | 不要 |
| CVSSスコア | 9.8（Critical） |
影響を受けるソフトウェア
| 製品 | ベンダー | バージョン |
|---|---|---|
| GnuTLS | GnuTLS Project | 3.7.2未満 |
修正バージョンと回避策
- 修正バージョン: GnuTLS 3.7.2以降
- 対応: ディストリビューションが提供する修正済みパッケージへのアップデート
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。