問題
インターネットを利用する企業にとって、通信のセキュリティを守ることがますます重要になっている。2014年4月にOpenSSLの脆弱性（CVE-2014-0160）が発覚して大きな問題になった。この脆弱性に関する記述として最も適切なものはどれか。
選択肢
- 1暗号化通信方式のフォールバック機能により、OpenSSLを使用した暗号通信の内容が漏えいした。
- 2攻撃者は、OpenSSLを使用しているサーバのメモリ内データの一部を読み取ることができた。
- 3この脆弱性はshellshockと呼ばれた。
- 4中間者攻撃（man-in-the-middle attack）により、暗号通信の内容が漏えいした。
正解
2. 攻撃者は、OpenSSLを使用しているサーバのメモリ内データの一部を読み取ることができた。
詳しい解説を見る解説を閉じる
解説
CVE-2014-0160は通称「Heartbleed（ハートブリード）」と呼ばれるOpenSSLのHeartbeat拡張に起因するメモリ情報漏えいの脆弱性であり、攻撃者がサーバプロセスのメモリ内データ（秘密鍵・パスワード・セッショントークン等）の一部を読み取れる重大な問題であった。よってイが正しい。アはPOODLE（CVE-2014-3566、SSL 3.0へのフォールバックを悪用する攻撃）の説明、ウのshellshockはbashの脆弱性（CVE-2014-6271）で別問題、エの中間者攻撃も別概念であり本脆弱性の本質ではない。Heartbleedはサーバ側の対応として OpenSSLバージョンアップと証明書・秘密鍵の再発行が必要となった。（出典: 一般社団法人 中小企業診断協会 平成27年度 中小企業診断士1次試験 経営情報システム 第21問）
中小企業診断士トップ
一問一答・予想問題・まとめノート