「Toshiba CHEC」に暗号鍵がハードコートされている脆弱性

Toshiba Global Commerce Solutionsが提供する「Checkout Environment for Consumer-Service（CHEC）」に、共通暗号鍵がハードコートされている問題が含まれていることがわかった。セキュリティ機関が注意を呼びかけている。

同ソフトウェアに含まれる「CreateBossCredentials.jar」に、データベースの暗号鍵がハードコートされている脆弱性「CVE-2014-4875」が存在することが判明したもの。攻撃者が「bossinfo.proファイル」へアクセスできる場合、暗号化されたデータベースの情報を取得されるおそれがある。

「同6.6 build level 4014」および「同6.7 build level 4329」で同ファイルを削除することにより脆弱性を解消しているとして、セキュリティベンダーでは最新版へのアップデートと、同ファイルが削除されているか確認するよう呼びかけている。