JVNDB-2015-002408

Net Nanny が共有の秘密鍵とルート CA 証明書を使用している問題

Net Nanny は共有の秘密鍵とルート CA 証明書を使用するため、システムに対する HTTPS スプーフィングが可能になる問題が存在します。

Net Nanny は、ルート CA 証明書とプロキシをインストールします。この証明書の生成に用いられる秘密鍵は、直接平文で取得できる形でプログラムに含まれています。攻撃者は、この秘密鍵を用いることで Net Nanny によって信頼される証明書を生成することが可能です。

ContentWatch, Inc.

• Net Nanny version 7.2.4.2

本脆弱性は version 7.2.4.2 で確認されています。その他のバージョンも脆弱性の影響を受ける可能性があります。

攻撃者が立ち上げた HTTPS サイトにアクセスしたり、HTTPS 通信を傍受されたりしても、ブラウザの警告が表示されません。

2015年4月21日現在、対策方法は不明です。以下のワークアラウンドの適用を検討してください。

[SSL フィルタリングを無効にし、証明書を削除する]
プログラムのユーザインターフェースから SSL フィルタリングを無効にし、OS の証明書ストアから Net Nanny がインストールした証明書を手動で削除してください。このワークアラウンドによって、Net Nanny の大部分の機能を損なうことなく本脆弱性の影響を防ぐことが可能です。

[Net Nanny をアンインストールする]
Net Nanny をアンインストールすることで、OS の証明書ストアから Net Nanny がインストールした証明書が削除されます。

ContentWatch, Inc.

• ContentWatch, Inc. : Net Nanny

1. JVN : JVNVU#90912447
2. US-CERT Vulnerability Note : VU#260780

• [2015年04月22日]
    掲載