10月26日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーが提供する情報などを参考に対処してください。
SSL 3.0の脆弱性（CVE-2014-3566）（2014/10/15）
SSL 3.0のCBC（Cipher Block Chaining）モードには、中間者攻撃によりSSL通信の暗号文の解読を許してしまう脆弱性（CVE-2014-3566）が存在します。この問題は、別名POODLE（Padding Oracle On Downgraded Legacy Encryption）問題とも呼ばれています。SSL 3.0プロトコル自体に存在している脆弱性で、特定の製品の実装上の脆弱性ではありません。
緩和策として、SSL/TLS実装へのTLS Fallback Signaling Cipher Suite Value（SCSV）仕様の導入が進められています。SCSVは、プロトコルのダウングレード、例えば、TLS 1.1が使えるにもかかわらず、SSL 3.0を使わせようと仕向ける操作を抑止するものです。これにより、SSL 3.0を利用する状況は限定的になりますが、SSL 3.0プロトコル自体に存在している脆弱性を除去できません。また、SSL 3.0しか有効にしていない設定や、SSL 3.0しか実装していない場合には、SCSV仕様を導入しても、問題を解決できません。
セキュリティ機構の危殆化への対応として、SSL 3.0の無効化措置と合わせて、緩和策となるSCSVの導入、TLS 1.1/TLS 1.2の導入の推進が推奨されます。Alexa：Top Sites in Japanの上位200サイト（うち、119サイトが調査対象）のプロトコルサポート状況を調査した結果（2014年10月18日）、68％がSSL 3.0をサポートしています（図1）。いずれのサイトも、TLS 1.0以降もサポートしています。
SSL 3.0の無効化はサーバー側の設定で可能ですが、ブラウザーは、デフォルト設定でSSL 3.0/TLS 1.0をサポートしている状況にあります（図2）。このため、サーバー側でSSL 3.0を無効化した際の影響を最小限に抑えるには、利用者に対し、無効化措置の事前広報に加え、ブラウザーの設定確認（TLS 1.0の有効化）の周知を進める必要があります。
