2016.07.30(土)

2011年に非推奨とされた「SSLv2」に、暗号を解読される「DROWN攻撃」(JVN)

脆弱性と脅威 セキュリティホール・脆弱性

独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は3月2日、SSLv2には十分な回数のハンドシェイクの情報を収集できる場合に、暗号通信を解読される可能性があると「Japan Vulnerability Notes(JVN)」で発表した。これは「DROWN攻撃」という名称で報じられている。CVSS v3によるBase Scoreは7.4。研究者によると、Bleichenbacherのパディングオラクル攻撃の新たな手法であるという。

DROWN攻撃を受ける可能性があるのは、SSLv2をサポートしているサーバ。SSLv2は2011年から非推奨となっているが、研究者によると現在も多くのサーバがSSLv2とTLSで共通のサーバ証明書を使用しているという。なお、この攻撃では1,000回程度のSSLハンドシェイクの情報を取得しておく必要がある。JVNでは対策方法として、「SSLv2を無効化する」「共通のSSL証明書を使用しない」「通信内容を監視し、ファイアウォールのルールを設定する」ことを挙げている。
《吉澤 亨史》

編集部おすすめの記事

特集

脆弱性と脅威 アクセスランキング

  1. 政府が「ポケモンGO」に関する注意喚起を発表、9つの注意点を記載(NISC)

    政府が「ポケモンGO」に関する注意喚起を発表、9つの注意点を記載(NISC)

  2. Vプリカを騙るメールに注意喚起、本文に再び“流失”の表記(フィッシング対策協議会)

    Vプリカを騙るメールに注意喚起、本文に再び“流失”の表記(フィッシング対策協議会)

  3. 「Apache Struts 1」利用に早急な切り替えを呼びかけ--JVN登録状況(IPA)

    「Apache Struts 1」利用に早急な切り替えを呼びかけ--JVN登録状況(IPA)

  4. GNU Wget においてファイル名検証不備により任意のファイルがダウンロードさせられてしまう脆弱性

  5. 「Pokemon GO」で身元バレの可能性、個人情報の管理に注意

  6. テレビ会議システム「LifeSize Room」に複数の脆弱性(JVN)

  7. Ruby on Rails において Render メソッドの実装不備により遠隔から任意のコードが実行されてしまう脆弱性(Scan Tech Report)

  8. Apache HTTP Server のエラーページに起因する HTTP ヘッダ情報漏えいの脆弱性(Scan Tech Report)

  9. 復活した「Locky」の標的は日本?! ランサムウェア最新情報まとめ

  10. Microsoft Windows の Win32k.sys ドライバの実装に起因する整数オーバーフローの脆弱性(Scan Tech Report)

アクセスランキングをもっと見る

★~(=^・ω・^)ノ☆★ Scanもアップグレードしませんか?7月末まで Scan PREMIUM が最大 5,000 円割引となるキャンペーンを実施中 ★★
★~(=^・ω・^)ノ☆★ Scanもアップグレードしませんか?7月末まで Scan PREMIUM が最大 5,000 円割引となるキャンペーンを実施中 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事はもちろんのこと、掲載された全ての限定コンテンツに、フルアクセスが可能となります。

×