Japan
サイト内の現在位置を表示しています。
SSLとTLSのCBCモードに選択平文攻撃の脆弱性
掲載番号:NV12-005
脆弱性情報識別番号:VU#864643
概要
SSLプロトコルとTLSプロトコルがCBCモードで動作する際、初期化ベクトル(IV)の決定方法に問題があり、選択平文攻撃を受ける脆弱性が存在します。
暗号化した通信が中間者攻撃(man-in-the-middle attack)によって傍受された場合、その内容を復号される可能性があります。
対象製品
EnterpriseDirectoryServer
影響の有無
影響あり
対象となる製品のバージョン
- Ver7.1
- Ver7.0
- Ver6.1
- Ver6.0
対処方法
[対策]
- Ver7.1、Ver7.0、Ver6.1
修正版をご用意しています。
修正版の詳細につきましては弊社営業にお問合せください。
- Ver6.0
Ver6.0の修正版提供につきましては弊社営業にお問合せください。
InfoCage PCセキュリティ
影響の有無
影響あり
「InfoCage PCセキュリティ インストールガイド 3.5 SSLの設定（自己署名証明書）」の手順でMicrosoft証明書を作成して使用した場合、上記で報告されている脆弱性のため、 ログの内容が漏えいする可能性があります。
対象となる製品のバージョン
全バージョン
対処方法
[回避策]
Microsoft社にて本脆弱性の修正HotFixが公開されるまで、「InfoCage PCセキュリティ インストールガイド 3.5 SSLの設定（自己署名証明書）」の手順を使用した証明書の作成を実施しないでください。
SecureWare/PKIアプリケーション開発キット
影響の有無
影響あり
対象となる製品のバージョン
SecureWare/PKIアプリケーション開発キット V2.1
対処方法
[回避策]
CBCモードの暗号スイートを使用しないようにしてください。
手順の詳細は保守契約者様用の問い合わせ窓口までお問い合わせ下さい。
[対策]
SecureWare/PKIアプリケーション開発キット V3.0以降で対応完了しています。
最新のSecureWare/PKIアプリケーション開発キット V3.1（2013/10/04時点）にバージョンアップしてください。
バージョンアップ手順につきましては保守契約者様用の問い合わせ窓口までお問い合わせ下さい。
WebSAM AssetSuite
影響の有無
影響あり
対象となる製品のバージョン
- Ver3.0 以降( Agent との通信経路にセキュアモニタを使用する場合 )
- Ver3.2 以降( 利用者 Web を SSL 環境 (https通信) で使用する場合 )
対処方法
[対策]
マイクロソフトが公開する対処方法 （マイクロソフト セキュリティ アドバイザリ 2588513） を実施してください。
マイクロソフト セキュリティ アドバイザリ 2588513
https://technet.microsoft.com/ja-jp/library/security/2588513.aspx
https://technet.microsoft.com/ja-jp/library/security/2588513.aspx
ご不明な点はサポート窓口、または弊社営業までお問い合わせ下さい。
WebSAM SECUREMASTER
影響の有無
影響あり
対象となる製品のバージョン
| 製品名 | バージョン |
| SECUREMASTER/EnterpriseAccessManager | Version:3.x ～ 6.x |
| SECUREMASTER/AccessControlPlugIn | Version:3.x ～ 6.x |
| SECUREMASTER/AccessControlServer | Version:3.x ～ 6.x |
| SECUREMASTER/EnterpriseDirectoryServer/RDB連携システム | 全バージョン |
SECUREMASTERはSSL通信を行う時、OpenSSLと組み合わせて利用します。
そのため、暗号化した通信が脆弱性によって盗聴される恐れがあります。
対処方法
[回避策]
- TLS 1.1、あるいはTLS 1.2を使用する
- RC4アルゴリズムを優先して使用する
[対策]
- 修正済みOpenSSL（OpenSSL 0.9.6dで修正済みです）を利用する
修正済みOpenSSLまたは回避策を採用頂くことで本脆弱性への対応が可能です。
SECUREMASTERはお客様側で導入済みのOpenSSLと組み合わせて運用する製品です。
そのためご利用中のOpenSSLのバージョンによっては本脆弱性による影響があるため、脆弱性対処済みのOpenSSLをご利用を強く推奨します。
ご不明な点はサポート窓口、または弊社営業までお問い合わせ下さい。
参考情報
InfoCage PCセキュリティ認証における問題についてhttps://www.nec.co.jp/cced/infocage/info/pc_security_news111130.html
Japan Vulnerability Notes JVNVU#864643:SSL と TLS の CBC モードに選択平文攻撃の脆弱性https://jvn.jp/cert/JVNVU864643/
US-CERT VU#864643:SSL 3.0 and TLS 1.0 allow chosen plaintext attack in CBC modeshttps://www.kb.cert.org/vuls/id/864643
CVE CVE-2011-3389:https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3389
更新情報
- 2016/01/20
- 2014/04/28
- 2013/10/04
- 2012/04/16
- 2012/03/27