Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

フィルタリング製品が不正なルート証明書を使用 - 秘密鍵が漏洩

Content Watchが提供するフィルタリングソフトの「Net Nanny」が、問題あるルート証明書を端末内にインストールすることがわかったとして、セキュリティ機関が注意を喚起した。不正なサイトを信頼したり、暗号化通信が盗聴されるおそれがある。

同製品は、通信を中継するプロクシとルート証明書を端末内にインストールするが、製品で共通の秘密鍵とルート証明書を使用。くわえて秘密鍵はソフト内部に平文で保存されており、取り出すことが可能だという。

同製品利用者は、この秘密鍵によって作成された自己署名証明書によるHTTPS通信を信頼してしまうため、フィッシングサイトに用いられたり、暗号化通信の盗聴などに悪用されるおそれがある。

セキュリティ機関は、「同7.2.4.2」において脆弱性を確認しており、他バージョンも影響を受けるおそれがあると指摘。

4月21日の段階で対策はわかっておらず、セキュリティ機関は、同製品においてSSLフィルタリングを無効にした上で、証明書ストアから問題の証明書を削除したり、同製品そのものをアンインストールするなど、回避策をアナウンスしている。

(Security NEXT - 2015/04/21 ) このエントリーをはてなブックマークに追加

PR

関連記事

「OpenSSL」にあらたな脆弱性 - アップデートを公開
Adobe、セキュリティアドバイザリ7件を公開
「FortiOS」にあらたな脆弱性 - 悪用済み脆弱性と関連する脆弱性も
Progress製ロードバランサーに複数の脆弱性 - 早急にアップデートを
IvantiのVPNやアクセス制御製品に複数の脆弱性 - 「クリティカル」も
2月のMS月例パッチがリリース - ゼロデイ含む複数脆弱性を解消
「Adobe Commerce」や「Magento」に複数脆弱性 - 緊急パッチも
「iOS」「iPadOS」にアップデート - ゼロデイ脆弱性を解消
「Zimbra」に複数の深刻な脆弱性 - 最新版へアップデートを
行政機関向け資産管理システム「Cityworks」に脆弱性 - すでに悪用も