Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

MS、「重要な更新プログラム」でマレーシア認証局を失効処理

マイクロソフトは、マレーシアの認証局「DigiCert Sdn.Bhd」が脆弱な22件の証明書を発行したとして、同認証局への信頼を失効させる更新プログラムを、Windowsアップデートで公開した。

今回問題となっているマレーシアのDigiCert Sdn.Bhdは、Microsoft Root Certificate Programに参加している米DigiCertとは無関係の認証局。512ビットの脆弱な暗号鍵を利用した脆弱な証明書が、同社より発行されたことが確認されている。

現時点で不正利用は確認されていないものの、暗号鍵が破られて証明書を複製された場合、なりすましや中間者攻撃などに悪用される可能性がある。

更新プログラムを適用することにより、中間証明機関であるEntrustによって発行された、「Digisign Server ID – (Enrich)」および、CyberTrustによって発行された、「Digisign Server ID(Enrich)」の証明書が失効となる。

同プログラムは、「セキュリティ更新プログラム」として提供されず、Microsoft Baseline Security Analyzer(MBSA)など一部環境では検出されないため注意が必要。

(Security NEXT - 2011/11/15 ) このエントリーをはてなブックマークに追加

PR

関連記事

ストレージ仮想化ソフト「IBM Storage Virtualize」の一部プラグインに脆弱性
F5、「BIG-IP」などに複数の脆弱性 - アップデートで修正
Cisco、セキュリティアドバイザリ3件を公開
米当局、Ivanti VPN製品のゼロデイ脆弱性で注意喚起 - 侵害なくとも初期化を
QNAP製NASのOSに複数脆弱性 - アップデートで修正
SonicWall製VPN製品「SMA 100シリーズ」に複数の脆弱性
Palo AltoのVPNソリューションのクライアントに脆弱性
MS、月例パッチで脆弱性90件を修正 - すでに2件は悪用済み
OpenSSLの一部楕円曲線APIに脆弱性 - 重要度は「低」
「HashiCorp Vault」に脆弱性 - アップデートが公開