【活用ガイド】

JVNDB-2017-009246

Savitech 製 USB オーディオドライバがルート CA 証明書を許可なくインストールする問題

概要

Savitech が提供する一部の USB オーディオ機器向けドライバは、Savitech のルート CA 証明書を、ユーザーの許可なく Windows の信頼されたルート証明機関ストアにインストールします。

Savitech は、多くのオーディオ製品向け USB オーディオドライバを提供しています。Savitech ドライバパッケージは、一部のバージョンにおいて、Savitech のルート CA 証明書をユーザの許可なく Windows の信頼されたルート証明機関ストアにインストールします。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 8.1 (重要) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 8.8 (危険) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 全面的
  • 完全性への影響(I): 全面的
  • 可用性への影響(A): なし
影響を受けるシステム


SAVITECH CORP
  • Savitech ドライバ パッケージ version 2.8.0.3 より前のバージョン

想定される影響

Savitech の秘密鍵を攻撃者が入手した場合、ウェブサイトやその他のサービスのなりすまし、悪意のあるソフトウェアの配布、中間者攻撃による暗号化されたデータやネットワークトラフィックの復号が行われる可能性があります。
対策

[Savitech のルート CA 証明書を削除する]
現在のところ、Savitech の秘密鍵が漏えいしたという報告はありませんが、Savitech ドライバパッケージをインストールしたユーザーに対しては、以下のルート CA 証明書をシステムから削除することを推奨します。

　　* SaviAudio root certificate #1

　　有効期間: Thursday, May 31, 2012 - Tuesday, December 30, 2036
　　シリアル番号: 579885da6f791eb24de819bb2c0eeff0
　　Thumbprint: cb34ebad73791c1399cb62bda51c91072ac5b050

　　* SaviAudio root certificate #2

　　有効期間: Thursday, December 31, 2015 - Tuesday, December 30, 2036
　　シリアル番号: 972ed9bce72451bb4bd78bfc0d8b343c
　　Thumbprint: 23e50cd42214d6252d65052c2a1a591173daace5

Savitech によると、この証明書は Windows XP 向けに用意されたものであり、Windows XP より後の OS では不要のものでしたが、ドライバパッケージから削除されていませんでした。この問題は CVE-2017-9758 として登録されています。

[アップデートする]
Savitech のルート CA 証明書を削除した後、最新の Savitech ドライバパッケージをインストールしてください。
ベンダ情報

SAVITECH CORP マイクロソフト
CWEによる脆弱性タイプ一覧  CWEとは?

共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2017-9758
参考情報

  1. JVN : JVNVU#99936709
  2. National Vulnerability Database (NVD) : CVE-2017-9758
  3. CERT/CC blog : The Risks of SSL Inspection
  4. US-CERT Vulnerability Note : VU#446847
  5. 関連文書 : KristoferA's blog
  6. 関連文書 : Inaudible Subversion - Did your Hi-Fi just subvert your PC?
更新履歴

  • [2017年11月07日]
      掲載
    [2017年11月09日]
      想定される影響：内容を更新 
      参考情報：関連文書 (Inaudible Subversion - Did your Hi-Fi just subvert your PC?) を追加
  • [2018年03月14日]
      参考情報：National Vulnerability Database (NVD) (CVE-2017-9758) を追加

公表日2017/11/02
登録日2017/11/07
最終更新日2018/03/14