Lenovo、不正ソフトの削除ツール公開 他のアプリに影響も

US-CERTによると、LenovoのノートPCにプリインストールされていたSuperfishには重大な脆弱性があり、暗号化されたWebブラウザのHTTPS通信をリモートの攻撃者に読まれたり、Webサイトを偽装されたりする恐れがある。

[鈴木聖子，ITmedia]

　Lenovoのコンシューマー向けノートPCに不正なソフトウェア「SuperFish」がプリインストールされていた問題は、他のアプリケーションにも影響が及ぶことが分かり、米セキュリティ機関のUS-CERTが2月20日に脆弱性情報を出して注意を呼び掛けた。LenovoもSuperfishが通信に割り込む中間者攻撃に使われる恐れがあると認めてセキュリティアドバイザリーを公開し、アンインストールツールの提供を開始している。

　US-CERTによると、LenovoのノートPCにプリインストールされていたSuperfishには重大な脆弱性が存在していて、悪用された場合、暗号化されたWebブラウザのHTTPS通信をリモートの攻撃者に読まれたり、Webサイトを偽装されたりする恐れがある。

　この原因は、Superfishなど複数のアプリケーションに使われている「Komodia Redirector SDK」にあるという。同SDKを使ったアプリケーションでは、Webブラウザの証明書ストアにルートCA証明書がインストールされ、警告を表示させることなくすべてのWebトラフィックを傍受することが可能になる。

　影響を受けるベンダーには、LenovoやSuperfishのほか、Atom Security、KeepMyFamilySecure、Lavasoftなどを挙げている。こうしたアプリケーションをアンインストールしたとしても、問題のルート証明書は削除されないため、セキュリティリスクを完全に取り除くことはできないとUS-CERTは指摘。MicrosoftやMozillaのガイドラインに従ってWindowsやFirefoxなどの証明書ストアから問題のルートCA証明書を削除するよう促している。

Lenovoはセキュリティ問題に対処

　Lenovoはこの問題に対応して、Superfishアプリケーションと証明書を削除するための自動削除ツールの提供を開始した。また、手動でSuperfishとSuperfish証明書を削除する手順も紹介している。