Microsoft、Dellの証明書を無効化
Microsoftは証明書信頼リスト(CTL)の更新版を配信し、脆弱性が指摘されたDellの証明書を失効させる措置を取った。
米DellのPCに攻撃に悪用されかねないルート証明書と秘密鍵が搭載されていた問題で、米Microsoftは11月30日、証明書信頼リスト(CTL)を更新して問題のある証明書を失効させる措置を取ったことを明らかにした。
脆弱性が発覚したのはDellのコンピュータに搭載されていた「eDellRoot」「DSDTestProvider」という2件の証明書。いずれも秘密鍵が含まれていることから、コンテンツ偽装やフィッシング詐欺、中間者攻撃に利用されたり、正規のドメイン用の証明書が偽装されたりする恐れがある。
Microsoftによれば、11月30日の時点でこの脆弱性を突く攻撃は確認されていないという。
この問題は全Windowsが影響を受けることから、MicrosoftはCTLの更新で対応、この2件の証明書を失効させた。サポート対象のWindowsで自動更新を有効にしている場合、更新版のCTLは自動的に配信され、ユーザー側の操作は必要としない。
Dellは11月23日の時点で脆弱性の存在を認め、問題の証明書を削除するためのソフトウェアアップデートを24日からプッシュ配信すると表明していた。2件の証明書のうち、eDellRootは出荷時にプリインストールされていたことが判明。DSDTestProviderの方は、10月20日から11月24日までの間に同社のサポートサイトを利用した一部ユーザーにダウンロードされていたという。
変更履歴……初出時の記事タイトルに「更新プログラム」とありましたが、正しくは「証明書信頼リスト」を通じた配信となります。記事タイトルを変更いたしました。
関連記事
- Dell、ルート証明書の脆弱性で対応表明 別の問題発覚
Dellはシステムから「eDellRoot」を恒久的に削除する方法について説明。一方、米CERT/CCは、Dellの別のルート証明書「DSDTestProvider」に関する脆弱性情報も公開した。 - DellのPCに不審なルート証明書、LenovoのSuperfishと同じ問題か
Dellのマシンにプリインストールされている自己署名ルート証明書の「eDellRoot」について、危険を指摘する声が相次いでいる。 - Microsoft、不正な証明書を失効する更新プログラムを公開
不正なSSL証明書はコンテンツ偽装やフィッシング詐欺、中間者攻撃などに悪用される恐れがある。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.