定番の脆弱性 › CVE-2014-3566
POODLE（CVE-2014-3566）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
公開日:
過去の事例 この記事は過去に話題になった脆弱性の解説です。現在の状況は公式情報でご確認ください。
基本情報（データから表示）
| 通称 | POODLE |
|---|---|
| CVE番号 | CVE-2014-3566 |
| いつ起きたか | NVD に登録された日: 2014-10-15 KEV に追加された日: KEV に未掲載 |
| 製品 | 不明（KEV に未掲載のため） |
| 深刻度（CVSS） | 3.4 注意CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N |
| 弱点の種類（CWE） | CWE-310, CWE-329 |
何が起きた
POODLEと呼ばれる、SSL 3.0という通信の仕組みそのものの弱点です。攻撃者は通信の途中に入り込み（中間者攻撃）、より安全なTLSではなくSSL 3.0を使わせて、暗号化された通信の中身を読み取ります。攻撃の条件として、被害者側の操作も必要とされています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
SSL 3.0を使える状態のサーバーやブラウザなどを使っている人や組織が影響を受けます。SSL 3.0の仕組みそのものの欠陥なので、OpenSSL 1.0.1iまでに限らず、SSL 3.0を使えるさまざまな製品が対象です。
何をすればいい
SSL 3.0自体の修正版はないため、いちばん有効な対策はSSL 3.0を無効にすることです。サーバーやブラウザなどの設定で、SSL 3.0を無効にしてください。あわせて、TLS_FALLBACK_SCSVに対応した版（OpenSSL 1.0.1j、1.0.0o、0.9.8zc以降など）を使うと、SSL 3.0への格下げを防ぎやすくなります。ただし、サーバーと利用者側の両方が対応している必要があります。公式の案内も確認しましょう。
やることチェックリスト
- サーバーの設定でSSL 3.0を無効にする
- ブラウザなどでもSSL 3.0を無効にする
- OpenSSLを1.0.1j、1.0.0o、0.9.8zc以降にする
用語メモ
- SSL 3.0
- インターネットの通信を暗号化する仕組み（SSL）の古い版です。今は、より安全なTLSが使われています。
- 中間者攻撃
- 通信する2者の間に攻撃者が割り込み、やり取りを盗み見たり書き換えたりする攻撃です。
- TLS
- SSLの後継で、インターネットの通信を暗号化するための仕組みです。
元データ（英語）
説明（NVD）
The SSL protocol 3.0, as used in OpenSSL through 1.0.1i and other products, uses nondeterministic CBC padding, which makes it easier for man-in-the-middle attackers to obtain cleartext data via a padding-oracle attack, aka the "POODLE" issue.
この脆弱性は、CISA KEV（悪用が確認された脆弱性の一覧）には載っていません。