Heartbleed (CVE-2014-0160)

Heartbleed(CVE-2014-0160)は 2014 年 4 月に公表された、OpenSSL 1.0.1 〜 1.0.1f における TLS heartbeat メッセージ処理時の境界チェック漏れです。実際に送ったペイロードより大きいサイズを宣言した heartbeat を送ると、サーバーはその分の隣接メモリを返してしまい、正常な TLS の枠内で繰り返し・ほぼ痕跡なしに読み取れました。RSA 秘密鍵、セッション Cookie、認証情報、Web サーバー・VPN・組み込み機器のメール本文などが盗まれました。影響は世界規模で、緊急パッチ・鍵入れ替え・証明書失効を引き起こしました。修正は OpenSSL 1.0.1g 以降への更新で、侵害を前提として鍵交換とセッション無効化が必要です。