Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

メール受信の認証方式「APOP」にパスワード漏洩の脆弱性

メールクライアントがメールサーバからメールを受信する際に利用される認証プロトコル「APOP」に、パスワードが漏洩する脆弱性があるとして、情報処理推進機構などは注意喚起を行っている。

JPCERTコーディネーションセンターとIPAが共同で運営するJVNなどによれば、MD5ハッシュ衝突に基づく攻撃手法が発見されたことから、メールサーバを詐称してメールクライアントからの応答を集められた場合、APOPを利用していてもパスワードが解読され、第三者に漏洩する可能性があるという。

JVNでは、応答を長時間にわたって集める必要があることから実際の攻撃は比較的困難としているが、IPAでは脆弱性についてCVSS基本値を「4.0」、深刻度を「警告」とした。またプロトコル上の問題であり、ソフトウェアで脆弱性を解消することはできないため、SSLを用いる「POP over SSL」の利用を推奨している。

JVN
http://jvn.jp/

情報処理推進機構
http://www.ipa.go.jp/

JPCERTコーディネーションセンター
http://www.jpcert.or.jp/

(Security NEXT - 2007/04/19 ) このエントリーをはてなブックマークに追加

PR

関連記事

Windows向け「Zscaler Client Connector」に権限昇格の脆弱性
メール誤送信、セミナー参加者のメアド流出 - 佐賀県
クラウド設定不備で個人情報に外部アクセス - イオン銀
「Firefox 86」が公開、Cookie対策強化 - 脆弱性12件を修正
複数病院の患者情報含むPCを紛失 - 千葉県
小売電気事業者向けにセキュ対策ガイドライン - 経産省
不正アクセスでデータ消去されるも情報流出の痕跡見つからず - 阪大
学内宿泊施設予約システムに不正アクセス、利用者情報が流出か - 阪大
顧客情報流出でサクソバンク証券をけん責処分 - 日証協
複数ペットフード販売サイトに不正アクセス - クレカ情報が流出