Lenovoの一部端末にアドウェア - 不正な証明書が残存しないよう注意を
Lenovoが販売した一部端末に、サードパーティ製のプリインストールソフトとしてアドウェアが含まれていたことが判明した。
問題のソフトウェアは、米Superfishが提供するソフトウェア。ウェブ表示の際に広告を表示させるものだが、脆弱な証明書を用いて中間者攻撃(MITM)により暗号化通信の内容について傍受していた。
Lenovoによれば、同ソフトは2014年9月から2015年2月までの間に出荷されたコンシューマー向けノートパソコンの一部に含まれる。同社は、同ソフトを有効化するサーバへの接続を1月に中止し、プリインストールについても停止した。
同ソフトが含まれるのは、「Gシリーズ」「Uシリーズ」「Yシリーズ」「Zシリーズ」「Sシリーズ」「Flexシリーズ」「MIIXシリーズ」「YOGAシリーズ」「Eシリーズ」などで、ThinkPadシリーズや、デスクトップ、スマートフォン、エンタープライズ向け製品などへのプリインストールについては行っていないと同社は説明している。
また「Superfish」については、WindowsやFirefoxのルート証明書ストアに、秘密鍵が容易に手に入る脆弱な証明書をインストールしていたことが問題を大きくした。
「Superfish」をアンインストールしても、証明書はそのまま残存し、悪用することで、脆弱な通信を正規の暗号化通信に見せかけたり、中間者攻撃による暗号化通信の盗聴や改ざんなどに悪用される可能性がある。
Lenovoでは、削除ツールの提供やアンインストール方法についてアナウンスを行っており、各セキュリティベンダーでは、アドウェアとして対処している。Microsoftでは、Windows Defenderによって「Superfish」の駆除にくわえ、不正な証明書の削除にも対応した模様だ。
(Security NEXT - 2015/02/23 )
ツイート
関連リンク
PR
関連記事
個人情報含む廃棄書類が強風で飛散、一部紛失 - 宮城県
F5、「BIG-IP」などに複数の脆弱性 - アップデートで修正
医療機関の届出書類が所在不明、袖机ごと廃棄か - 東京都
ランサム攻撃で個人情報が流出したおそれ - 井関農機グループ会社
Cisco、セキュリティアドバイザリ3件を公開
支援措置対象者の戸籍附票写しを加害者側へ誤交付 - 南部町
米当局、Ivanti VPN製品のゼロデイ脆弱性で注意喚起 - 侵害なくとも初期化を
ランサム被害で8478人分の個人情報流出を確認 - カシオ
QNAP製NASのOSに複数脆弱性 - アップデートで修正
SonicWall製VPN製品「SMA 100シリーズ」に複数の脆弱性