DigiCertの一部「EV SSL証明書」に不備 - 失効させ再発行

DigiCertの一部中間認証局が、WebTrustの監査リストに記載されていなかったことがわかった。同社は約5万件の「EV SSL証明書」を失効させ、利用者には再発行した証明書を用いるよう求めている。

問題の中間認証局は、「DigiCert Global CA G2」「GeoTrust TLS RSA CA G1」「Thawte TLS RSA CA G1」「Secure Site CA」「NCC Group Secure Server CA G2」「TERENA SSL High Assurance CA 3」。CertCentral、Symantec、Thawte、GeoTrustより発行され、これら中間認証局とチェーンされた「EV SSL証明書」が影響を受ける。

「EV SSL証明書」の発行にあたり、中間認証局は監査の対象となるが、7月2日に問題が指摘され、監査漏れが判明した。同社はこれら中間認証局による「EV SSL証明書」の発行を7月6日に停止。これら中間認証局にチェーンされた「EV SSL証明書」をすべて失効させた。影響を受ける証明書は、約5万件にのぼると見られる。

今回EVの監査漏れが判明した中間認証局については、WebTrust CAおよびBRの監査は行われていたとして、同社は失効させない方針。同中間認証局とチェーンされた「OV SSL証明書」「DV SSL証明書」については影響を受けないとしている。

（Security NEXT - 2020/07/14 ） ツイート

PR

関連記事

「Node.js」に脆弱性10件 - Brotli圧縮データの処理でRCEのおそれ
Ciscoのビデオ会議製品に深刻な脆弱性 - 修正版が公開
「Firefox 158.0.1」を公開 - 脆弱性や侵害された中間証明書に対処
ウェブサーバ「nginx」に複数脆弱性 - 3件が「クリティカル」との評価も
「Zoom Workplace」などに脆弱性4件 - 最新版へ更新を
委託業務で個人情報を誤送付、操作ミスで - TOPPAN
研究用原子炉利用者の身分証明書などが外部流出 - 原子力機構
「Apache WSS4J」に認証回避など7件の脆弱性 - 修正版が公開
「NVIDIA Infrastructure Controller」に複数の脆弱性 - 「クリティカル」も
「VeloCloud Orchestrator」に深刻な脆弱性 - すでに悪用も