JVNDB-2015-002950
|
McAfee ePolicy Orchestrator が SSL/TLS 証明書を適切に検証しない脆弱性
|
McAfee ePolicy Orchestrator には、SSL/TLS 証明書を適切に検証しない脆弱性が存在します。
証明書の不適切な検証 (CWE-295) - CVE-2015-2859
McAfee ePolicy Orchestrator (ePO) は、データの収集、集約など様々な目的のために外部サーバと連携する機能をサポートしており、外部サーバとの通信を SSL/TLS を使って暗号化するよう指定することが可能です。ePO は、認証局 (CA)、および証明書のコモンネーム (CN) やドメインネーム (DN) の検証処理に不備があります。結果として、これらの通信は中間者攻撃やスプーフィング攻撃に対して脆弱になります。
CWE-295: Improper Certificate Validation
http://cwe.mitre.org/data/definitions/295.html
|
CVSS v2 による深刻度 基本値: 5.8 (警告) [NVD値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 中
- 攻撃前の認証要否: 不要
- 機密性への影響(C): 部分的
- 完全性への影響(I): 部分的
- 可用性への影響(A): なし
|
|
マカフィー
- McAfee ePolicy Orchestrator 4.6.8 およびそれ以前
- McAfee ePolicy Orchestrator 5.1.1 およびそれ以前
|
|
攻撃者によって、当該製品と外部サーバ間の HTTPS 通信の内容を閲覧されたり改ざんされたりする可能性があります。
|
[アップデートする]
本脆弱性はバージョン 4.6.9 および 5.1.2 で修正されています。
開発者が提供する情報をもとに、最新版へアップデートしてください。
|
マカフィー
|
- その他(CWE-Other) [IPA評価]
- 暗号の問題(CWE-310) [NVD評価]
|
- CVE-2015-2859
|
- JVN : JVNVU#98454141
- National Vulnerability Database (NVD) : CVE-2015-2859
- US-CERT Vulnerability Note : VU#264092
|
- [2015年06月08日]
掲載
[2015年06月25日]
CVSS による深刻度:内容を更新
CWE による脆弱性タイプ一覧:CWE-ID を追加
ベンダ情報:マカフィー (KB84628) を追加
ベンダ情報:マカフィー (SB10120) を追加
参考情報:National Vulnerability Database (NVD) (CVE-2015-2859) を追加
|