独立行政法人 情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は4月15日、WPA3プロトコルおよびhostapdとwpa_supplicantの実装に複数の脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。これらの脆弱性は "Dragonblood" と呼ばれ、プロトコルの仕様そのものに起因する可能性があるという。CVSS v3による最大Base Scoreは6.7。脆弱性は次の通り、・楕円曲線暗号グループ（ECC groups）に対する SAE のキャッシュベースの攻撃（SAE サイドチャネル攻撃）（CVE-2019-9494）・楕円曲線暗号グループ（ECC groups）に対する EAP-PWD キャッシュベースの攻撃（EAP-PWD サイドチャネル攻撃）（CVE-2019-9495）・SAE confirm 処理においてメッセージの検証が行われない問題（CVE-2019-9496）・EAP-PWD リフレクション攻撃（EAP-pwd-Commit メッセージの検証不備）（CVE-2019-9497）・EAP-PWD Server における EAP-pwd-Commit メッセージの検証不備（CVE-2019-9498）・EAP-PWD Peer における EAP-pwd-Commit メッセージの検証不備（CVE-2019-9499）。これらの脆弱性により、サイドチャネル攻撃によって、パスワードの復元に使用可能な情報を取得される（CVE-2019-9494）、辞書攻撃により、弱いパスワードを取得される（CVE-2019-9495）、hostapdのプロセスを終了させられる（サービス運用妨害）（CVE-2019-9496）、EAP-PWD の認証を回避される（CVE-2019-9497）、不正なスカラ/要素値をもつメッセージ使用してセッション鍵を取得され、認証を回避される（CVE-2019-9498、CVE-2019-9499）といった影響を受ける可能性がある。JVNでは、wpa_supplicant と hostapd をバージョン 2.8 にアップデートするよう呼びかけている。
