TLS Ticketbleed漏洞検出

TicketbleedはBIG-IPの設定条件に関わる問題

Ticketbleed（CVE-2016-9244）は、TLS全般やOpenSSL全般に当てはまる脆弱性ではありません。CVEの記録では、F5 BIG-IPの仮想サーバーでClient SSLプロファイルのSession Ticketsが既定以外の設定で有効な場合に、未初期化メモリが漏れる可能性が説明されています。漏えいにはセッションIDなどが含まれる場合があります。まず対象の機器・バージョン・設定を管理台帳やベンダー資料で確認してください。

TLSセッションチケットは、サーバーがセッション状態をチケットとしてクライアントに渡し、後の接続でセッション再開に利用する仕組みです。チケット機能そのものが脆弱性なのではなく、特定の製品・設定における処理の問題がTicketbleedです。

この検査で確認できること

ホスト名またはIPアドレスとTLSポートを指定し、Ticketbleedに対応する検査項目を実行します。結果には対象、ポート、検出状態、スキャナーが返した説明や関連識別子などが表示されます。これは指定した接続先に対する一回のネットワーク検査であり、機器内部の設定やBIG-IPの製品バージョンを直接読み取るものではありません。

結果が「検出報告なし」の場合も、今回の検査項目で問題が報告されなかったという意味に限られます。BIG-IPかどうか、Session Tickets設定がどうなっているかは、ネットワーク応答だけで確定できないことがあります。

結果を資産情報と照合する

検出結果を受け取ったら、対象ホストがどのロードバランサーやTLS終端装置に到達するかを確認します。DNSやロードバランサーの振り分けによって接続先が複数ある場合、今回応答したノードが資産台帳上の機器と一致するかも調べてください。CVEの説明にある製品と設定条件を満たすか、F5の該当セキュリティ情報と照らし合わせることで、検査結果を適切に解釈できます。

許可されたTLS入口を確認する手順

1. 対象を決める

   自分が管理する、または検査の許可を得たホスト名かIPアドレスを入力します。DNS名で確認したい公開サービスは、IPアドレスではなく利用者が接続するホスト名を指定してください。

2. 接続ポートを指定する

   通常のHTTPS入口なら443を使います。別のTLSポートで提供している場合は、実際にTLS接続を受け付けるポート番号を入力します。範囲は1～65535です。

3. 結果と対象を記録する

   検査後、対象名・ポート・状態・説明を確認します。結果のコピー機能を使う場合も、どの資産と時点の記録か分かるように検査日時を併記してください。

4. 機器の設定を別途照合する

   Ticketbleedが報告された場合は、担当者がBIG-IPの製品情報とClient SSLプロファイルを確認します。ベンダーの案内に沿って影響条件と対応策を判断してください。

IPアドレスを直接指定すると、ホスト名を使った接続と異なる仮想サーバーに到達することがあります。実利用時のホスト名で調べた結果と、必要な場合のIP単位の確認を区別して記録してください。

結果を活用する場面

よくある確認事項

検査結果の読み方と利用範囲

この検査は、指定したホスト・ポートに対して返されたTicketbleed検査項目を表示します。応答に検査項目がない、タイムアウトした、またはレポートが不完全な場合は、合格扱いにせず不明として再確認してください。スキャナーが示すバージョン情報も、対象機器の構成全体や内部の正確な製品バージョンを保証するものではありません。

Ticketbleedが報告された場合は、CVEが示すBIG-IPと設定条件に該当するかを確認し、現行のF5公式案内に基づいて対応してください。検出報告がない場合も、他のTLS脆弱性やシステム上の問題は評価されません。包括的なセキュリティ監査の代用にはなりません。

検査対象は自分が所有・管理するか、明確に許可されたホストに限ってください。DNSの解決先、SNIに関係するホスト名、負荷分散先や接続時点によって観測結果が異なる場合があります。構成変更後の判断には、新しい状態で改めて確認し、機器側の設定やベンダー資料も併用してください。