MS、「重要な更新プログラム」でマレーシア認証局を失効処理

マイクロソフトは、マレーシアの認証局「DigiCert Sdn.Bhd」が脆弱な22件の証明書を発行したとして、同認証局への信頼を失効させる更新プログラムを、Windowsアップデートで公開した。

今回問題となっているマレーシアのDigiCert Sdn.Bhdは、Microsoft Root Certificate Programに参加している米DigiCertとは無関係の認証局。512ビットの脆弱な暗号鍵を利用した脆弱な証明書が、同社より発行されたことが確認されている。

現時点で不正利用は確認されていないものの、暗号鍵が破られて証明書を複製された場合、なりすましや中間者攻撃などに悪用される可能性がある。

更新プログラムを適用することにより、中間証明機関であるEntrustによって発行された、「Digisign Server ID – （Enrich）」および、CyberTrustによって発行された、「Digisign Server ID（Enrich）」の証明書が失効となる。

同プログラムは、「セキュリティ更新プログラム」として提供されず、Microsoft Baseline Security Analyzer（MBSA）など一部環境では検出されないため注意が必要。

（Security NEXT - 2011/11/15 ）ツイート