組み込みサーバーの認証機能に脆弱性、無効な証明書が受け入れられる恐れ
secure-clip_編集担当
ライター
この記事のポイント
- 失効した認証証明書が正当なものとして受け入れられる脆弱性が発見されました
- 特定の設定下で顧客認証を突破され、通信内容を盗聴される可能性があります
- OpenSSLを使用している企業は製品提供元への連絡と対応状況の確認が急務です
GoAheadという組み込み型のWebサーバーに深刻な認証上の欠陥が発見されました。このサーバーは失効した証明書をブロックするためのリストを持っていながら、それを実際に使用していなかったため、本来ならアクセスを拒否すべき失効した証明書でもログインできてしまいます。特にOpenSSLを利用し、顧客と相互に認証する仕組みを採用している企業が影響を受けます。このセキュリティホールを悪用されると、不正なアクセスだけでなく通信内容の傍受も可能になる危険性があります。
よくある質問
- 当社のシステムが影響を受けるか確認するには？
- GoAheadサーバーを使用していて、OpenSSLで顧客認証を実装している場合は注意が必要です。システム担当者に確認してください。
- この脆弱性が悪用されるとどうなるのか？
- 失効した証明書での不正ログイン、通信内容の盗聴、システム内の機密情報流出などが懸念されます。
- 企業として何をすべきか？
- 製品提供元の対応状況を確認し、パッチがあれば速やかに適用する必要があります。担当部門に確認を指示してください。
情報源：The Hacker News
本記事は上記情報を元に編集部が翻訳・要約・編集したものです。原文の正確な翻訳を保証するものではありません。
本記事は上記情報を元に編集部が翻訳・要約・編集したものです。原文の正確な翻訳を保証するものではありません。
