【活用ガイド】

JVNDB-2015-001569

Komodia Redirector がルート CA 証明書と秘密鍵をインストールする問題

概要

SSL Digestor モジュールを使用する Komodia Redirector は、ルート CA 証明書と秘密鍵をインストールします。その結果、システムに対して HTTPS スプーフィングが行われる可能性があります。

Komodia Redirector SDK は、プロキシサービスやウェブトラフィック操作の機能を提供します。SSL Digestor モジュールを追加すると、HTTPS トラフィックの操作も可能になります。SSL Digestor モジュールを使用する場合には、ウェブトラフィックの全てがプロキシ経由となりますが、ルート CA 証明書が追加登録されるため、ユーザに警告を出すことなく通信がおこなわれます。

Komodia の SDK を使用している Superfish VisualDiscovery や KeepMyFamilySecure などのアプリケーションからは、ルート CA 証明書の秘密鍵を容易に取得できます。またルート CA 証明書の秘密鍵はアプリケーションごとに異なるようですが、同一手順で秘密鍵を取り出すことが可能です。
CVSS による深刻度 (CVSS とは?)

CVSS v2 による深刻度
基本値: 8.5 (危険) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 全面的
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): なし
影響を受けるシステム


Lenovo
  • Komodia Redirector

SSL Digestor モジュールを使用する上記製品が影響を受けます。

影響のある Lenovo 製品の詳細については、ベンダ情報 LENOVO STATEMENT ON SUPERFISH をご確認ください。
想定される影響

HTTPS の通信内容を傍受されたり、フィッシング詐欺の被害を受ける可能性があります。
対策

[Komodia Redirector をアンインストールし、関連するルート CA 証明書を削除する]
CERT/CC Vulnerability Note VU#529496 の Vendor Information に掲載されている情報を参考に、Komodia Redirector および SSL Digestor モジュールを含むソフトウェアをアンストールしてください。また、関連するルート CA 証明書も削除する必要があります。証明書の名前は、ソフトウェアによって異なる可能性があります。

Lenovo は、Windows 8 ユーザ向けに、Lenovo 製品にプリインストールされている Superfish および関連する証明書を削除する手順を説明するドキュメント Removal Instructions for VisualDiscovery Superfish application を提供しています。

Microsoft からは、Windows 証明書ストアにインストールされている証明書の削除や管理に関する情報が公開されています。同様に、Mozilla からは Firefox や Thunderbird が参照する証明書の管理に関するドキュメント CA:UserCertDB が公開されています。

Vendor Information：http://www.kb.cert.org/vuls/id/529496#vendors

Removal Instructions for VisualDiscovery Superfish application：
https://forums.lenovo.com/t5/Lenovo-P-Y-and-Z-series/Removal-Instructions-for-VisualDiscovery-Superfish-application/ta-p/2029206

削除：https://technet.microsoft.com/ja-jp/library/cc772354.aspx
管理：http://windows.microsoft.com/ja-jp/windows-vista/view-or-manage-your-certificates
CA:UserCertDB：https://wiki.mozilla.org/CA:UserCertDB
ベンダ情報

Lenovo
CWEによる脆弱性タイプ一覧  CWEとは?

共通脆弱性識別子(CVE)  CVEとは?

参考情報

  1. JVN : JVNVU#92865923
  2. JVN : JVNTA#91476059
  3. US-CERT Vulnerability Note : VU#529496
  4. US-CERT Technical Cyber Security Alert : TA15-051A
更新履歴

  • [2015年02月24日]
      掲載

公表日2015/02/19
登録日2015/02/24
最終更新日2015/02/24