OpenSSLプロジェクトは、OpenSSL 1.1.1d、1.1.1e、および1.1.1fに影響を与えるリスクの高い脆弱性（CVE-2020-1967）があり、DoS攻撃の開始に使用される可能性があることを記載したセキュリティ情報を発行しました。
脆弱性の公式説明によると、TLS 1.3ハンドシェイクの最中または後にSSL_check_chain（）関数を呼び出すサーバーまたはクライアントアプリケーションは、 "signature_algorithms_cert" TLS拡張によって引き起こされるnullポインター参照の誤った処理が原因でクラッシュを引き起こす可能性があります。無効または認識されていない署名アルゴリズムを相手から受信した場合、クラッシュが発生します。これは、悪意のある攻撃者がDoS攻撃を仕掛けるために使用する可能性があります。
この脆弱性は、GCCの新しい静的分析チャネルアナライザーを通じてBernd Edlingerによって発見され、2020年4月7日にOpenSSLに報告されました。
影響を受けるOpenSSL 1.1.1（1.1.1d、1.1.1e、1.1.1f）ユーザーの場合、できるだけ早く1.1.1gにアップグレードすることをお勧めします。1.1.1dより前のOpenSSLバージョンはこの脆弱性の影響を受けません。
OpenSSL 1.0.2や1.1.0などの以前のバージョンも影響を受けませんが、これらのバージョンはサポートされなくなり、アップデートを受け入れることができなくなりました。これらのバージョンを使用しているユーザーは、OpenSSL 1.1.1にアップグレードすることをお勧めします。