vs gauge
区分
JVN番号
タイトル
JVN
深刻度
最終更新日
CVE番号
Update
JVNDB-2015-006907

組込み機器に固有でない X.509 証明書および SSH ホスト鍵を使用している問題

N/A
2018/02/28 13:56
CVE-2015-7276
JVNDB-2015-006907
組込み機器に固有でない X.509 証明書および SSH ホスト鍵を使用している問題
概要
多くの組込み機器が、固有でない X.509 証明書と SSH ホスト鍵を使用しているため、なりすましや中間者 (man-in-the-middle) 攻撃、通信内容の解読などの攻撃を受ける可能性があります。

暗号鍵がハードコードされている問題 (CWE-321)
SEC Consult の Stefan Viehböck の調査によると、多くの組込み機器が、固有でない X.509 証明書と SSH ホスト鍵を使用して、インターネットからアクセス可能な状態にあるとのことです。ファームウェアイメージに、ハードコードされた鍵や、インターネットをスキャンして蓄積されたレポジトリである scans.io (特に SSH の結果と、SSL 証明書) のデータとフィンガープリントが一致する証明書を使用している機器は脆弱だと判断できます。影響を受ける機器は家庭用ルータや IP カメラから VoIP 製品にまで多岐に渡ります。

CWE-321: Use of Hard-coded Cryptographic Key
http://cwe.mitre.org/data/definitions/321.html

scans.io
https://scans.io/

SSH の結果
https://scans.io/series/ssh-rsa-full-ipv4

SSL 証明書
https://scans.io/study/sonar.ssl

多くの脆弱な機器では、証明書や鍵の再利用は特定の開発者による限られた製品ラインに留まっていますが、複数の開発者で同一の証明書や鍵を使用している例もいくつか存在します。これらは、共通の SDK を使用して開発されたファームウェア、または ISP が提供する OEM 機器のファームウェアを使用していることが根本的な原因となっています。

脆弱な機器はなりすましや中間者 (man-in-the-middle) 攻撃を受けたり、通信内容を解読されたりする可能性があります。おそらく攻撃者は認証情報やその他の機密情報を取得することができ、それらを更なる攻撃に使用することが可能です。調査結果と、証明書や SSH ホスト鍵の問題の影響を受けるシステムのさらに詳しい情報は、SEC Consult のブログ記事を参照してください。

証明書
https://www.sec-consult.com/download/certificates.html

SSH ホスト鍵
https://www.sec-consult.com/download/ssh_host_keys.html

SEC Consult
http://blog.sec-consult.com/2015/11/house-of-keys-industry-wide-https.html
想定される影響と対策
遠隔の攻撃者に、ユーザになりすまされたり、中間者 (man-in-the-middle) 攻撃を受けたり、通信内容を解読されたりする可能性があります。結果として、機密情報が漏えいする可能性があります。
2015年11月26日現在、ほとんどの機器において対策方法は不明です。いくつかの開発者は、アップデートや情報を公開する予定であるとのことで、新たな情報が判明次第、CERT/CC Vulnerability Note VU#566724 の Vendor Information が更新される予定です。さらに詳しい情報は、開発者へお問い合わせください。 CERT/CC Vulnerability Note VU#566724 の Vendor Information http://www.kb.cert.org/vuls/id/566724#vendors [ワークアラウンドを実施する] 次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。 　* 可能であれば手動で X.509 証明書と SSH ホスト鍵を変更する 　* アクセスを制限する
JVN情報　※( )内はCVSS v2の値
深刻度 N/A 5.0
CVECVE-2015-7276
公表日2015/11/25 00:00
登録日2016/02/29 16:55
更新日2018/02/28 13:56
CVSS v3情報
…
全ての情報を閲覧するにはユーザー登録（無料）またはログインが必要です。
新規登録
ログイン
Update
JVNDB-2015-006907

組込み機器に固有でない X.509 証明書および SSH ホスト鍵を使用している問題

N/A
2018/02/28 13:56
CVE-2015-8251
JVNDB-2015-006907
組込み機器に固有でない X.509 証明書および SSH ホスト鍵を使用している問題
概要
多くの組込み機器が、固有でない X.509 証明書と SSH ホスト鍵を使用しているため、なりすましや中間者 (man-in-the-middle) 攻撃、通信内容の解読などの攻撃を受ける可能性があります。

暗号鍵がハードコードされている問題 (CWE-321)
SEC Consult の Stefan Viehböck の調査によると、多くの組込み機器が、固有でない X.509 証明書と SSH ホスト鍵を使用して、インターネットからアクセス可能な状態にあるとのことです。ファームウェアイメージに、ハードコードされた鍵や、インターネットをスキャンして蓄積されたレポジトリである scans.io (特に SSH の結果と、SSL 証明書) のデータとフィンガープリントが一致する証明書を使用している機器は脆弱だと判断できます。影響を受ける機器は家庭用ルータや IP カメラから VoIP 製品にまで多岐に渡ります。

CWE-321: Use of Hard-coded Cryptographic Key
http://cwe.mitre.org/data/definitions/321.html

scans.io
https://scans.io/

SSH の結果
https://scans.io/series/ssh-rsa-full-ipv4

SSL 証明書
https://scans.io/study/sonar.ssl

多くの脆弱な機器では、証明書や鍵の再利用は特定の開発者による限られた製品ラインに留まっていますが、複数の開発者で同一の証明書や鍵を使用している例もいくつか存在します。これらは、共通の SDK を使用して開発されたファームウェア、または ISP が提供する OEM 機器のファームウェアを使用していることが根本的な原因となっています。

脆弱な機器はなりすましや中間者 (man-in-the-middle) 攻撃を受けたり、通信内容を解読されたりする可能性があります。おそらく攻撃者は認証情報やその他の機密情報を取得することができ、それらを更なる攻撃に使用することが可能です。調査結果と、証明書や SSH ホスト鍵の問題の影響を受けるシステムのさらに詳しい情報は、SEC Consult のブログ記事を参照してください。

証明書
https://www.sec-consult.com/download/certificates.html

SSH ホスト鍵
https://www.sec-consult.com/download/ssh_host_keys.html

SEC Consult
http://blog.sec-consult.com/2015/11/house-of-keys-industry-wide-https.html
想定される影響と対策
遠隔の攻撃者に、ユーザになりすまされたり、中間者 (man-in-the-middle) 攻撃を受けたり、通信内容を解読されたりする可能性があります。結果として、機密情報が漏えいする可能性があります。
2015年11月26日現在、ほとんどの機器において対策方法は不明です。いくつかの開発者は、アップデートや情報を公開する予定であるとのことで、新たな情報が判明次第、CERT/CC Vulnerability Note VU#566724 の Vendor Information が更新される予定です。さらに詳しい情報は、開発者へお問い合わせください。 CERT/CC Vulnerability Note VU#566724 の Vendor Information http://www.kb.cert.org/vuls/id/566724#vendors [ワークアラウンドを実施する] 次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。 　* 可能であれば手動で X.509 証明書と SSH ホスト鍵を変更する 　* アクセスを制限する
JVN情報　※( )内はCVSS v2の値
深刻度 N/A 5.0
CVECVE-2015-8251
公表日2015/11/25 00:00
登録日2016/02/29 16:55
更新日2018/02/28 13:56
CVSS v3情報
…
全ての情報を閲覧するにはユーザー登録（無料）またはログインが必要です。
新規登録
ログイン
Update
JVNDB-2015-006907

組込み機器に固有でない X.509 証明書および SSH ホスト鍵を使用している問題

N/A
2018/02/28 13:56
CVE-2015-7256
JVNDB-2015-006907
組込み機器に固有でない X.509 証明書および SSH ホスト鍵を使用している問題
概要
多くの組込み機器が、固有でない X.509 証明書と SSH ホスト鍵を使用しているため、なりすましや中間者 (man-in-the-middle) 攻撃、通信内容の解読などの攻撃を受ける可能性があります。

暗号鍵がハードコードされている問題 (CWE-321)
SEC Consult の Stefan Viehböck の調査によると、多くの組込み機器が、固有でない X.509 証明書と SSH ホスト鍵を使用して、インターネットからアクセス可能な状態にあるとのことです。ファームウェアイメージに、ハードコードされた鍵や、インターネットをスキャンして蓄積されたレポジトリである scans.io (特に SSH の結果と、SSL 証明書) のデータとフィンガープリントが一致する証明書を使用している機器は脆弱だと判断できます。影響を受ける機器は家庭用ルータや IP カメラから VoIP 製品にまで多岐に渡ります。

CWE-321: Use of Hard-coded Cryptographic Key
http://cwe.mitre.org/data/definitions/321.html

scans.io
https://scans.io/

SSH の結果
https://scans.io/series/ssh-rsa-full-ipv4

SSL 証明書
https://scans.io/study/sonar.ssl

多くの脆弱な機器では、証明書や鍵の再利用は特定の開発者による限られた製品ラインに留まっていますが、複数の開発者で同一の証明書や鍵を使用している例もいくつか存在します。これらは、共通の SDK を使用して開発されたファームウェア、または ISP が提供する OEM 機器のファームウェアを使用していることが根本的な原因となっています。

脆弱な機器はなりすましや中間者 (man-in-the-middle) 攻撃を受けたり、通信内容を解読されたりする可能性があります。おそらく攻撃者は認証情報やその他の機密情報を取得することができ、それらを更なる攻撃に使用することが可能です。調査結果と、証明書や SSH ホスト鍵の問題の影響を受けるシステムのさらに詳しい情報は、SEC Consult のブログ記事を参照してください。

証明書
https://www.sec-consult.com/download/certificates.html

SSH ホスト鍵
https://www.sec-consult.com/download/ssh_host_keys.html

SEC Consult
http://blog.sec-consult.com/2015/11/house-of-keys-industry-wide-https.html
想定される影響と対策
遠隔の攻撃者に、ユーザになりすまされたり、中間者 (man-in-the-middle) 攻撃を受けたり、通信内容を解読されたりする可能性があります。結果として、機密情報が漏えいする可能性があります。
2015年11月26日現在、ほとんどの機器において対策方法は不明です。いくつかの開発者は、アップデートや情報を公開する予定であるとのことで、新たな情報が判明次第、CERT/CC Vulnerability Note VU#566724 の Vendor Information が更新される予定です。さらに詳しい情報は、開発者へお問い合わせください。 CERT/CC Vulnerability Note VU#566724 の Vendor Information http://www.kb.cert.org/vuls/id/566724#vendors [ワークアラウンドを実施する] 次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。 　* 可能であれば手動で X.509 証明書と SSH ホスト鍵を変更する 　* アクセスを制限する
JVN情報　※( )内はCVSS v2の値
深刻度 N/A 5.0
CVECVE-2015-7256
公表日2015/11/25 00:00
登録日2016/02/29 16:55
更新日2018/02/28 13:56
CVSS v3情報
…
全ての情報を閲覧するにはユーザー登録（無料）またはログインが必要です。
新規登録
ログイン
Update
JVNDB-2015-006907

組込み機器に固有でない X.509 証明書および SSH ホスト鍵を使用している問題

N/A
2018/02/28 13:56
CVE-2015-7255
JVNDB-2015-006907
組込み機器に固有でない X.509 証明書および SSH ホスト鍵を使用している問題
概要
多くの組込み機器が、固有でない X.509 証明書と SSH ホスト鍵を使用しているため、なりすましや中間者 (man-in-the-middle) 攻撃、通信内容の解読などの攻撃を受ける可能性があります。

暗号鍵がハードコードされている問題 (CWE-321)
SEC Consult の Stefan Viehböck の調査によると、多くの組込み機器が、固有でない X.509 証明書と SSH ホスト鍵を使用して、インターネットからアクセス可能な状態にあるとのことです。ファームウェアイメージに、ハードコードされた鍵や、インターネットをスキャンして蓄積されたレポジトリである scans.io (特に SSH の結果と、SSL 証明書) のデータとフィンガープリントが一致する証明書を使用している機器は脆弱だと判断できます。影響を受ける機器は家庭用ルータや IP カメラから VoIP 製品にまで多岐に渡ります。

CWE-321: Use of Hard-coded Cryptographic Key
http://cwe.mitre.org/data/definitions/321.html

scans.io
https://scans.io/

SSH の結果
https://scans.io/series/ssh-rsa-full-ipv4

SSL 証明書
https://scans.io/study/sonar.ssl

多くの脆弱な機器では、証明書や鍵の再利用は特定の開発者による限られた製品ラインに留まっていますが、複数の開発者で同一の証明書や鍵を使用している例もいくつか存在します。これらは、共通の SDK を使用して開発されたファームウェア、または ISP が提供する OEM 機器のファームウェアを使用していることが根本的な原因となっています。

脆弱な機器はなりすましや中間者 (man-in-the-middle) 攻撃を受けたり、通信内容を解読されたりする可能性があります。おそらく攻撃者は認証情報やその他の機密情報を取得することができ、それらを更なる攻撃に使用することが可能です。調査結果と、証明書や SSH ホスト鍵の問題の影響を受けるシステムのさらに詳しい情報は、SEC Consult のブログ記事を参照してください。

証明書
https://www.sec-consult.com/download/certificates.html

SSH ホスト鍵
https://www.sec-consult.com/download/ssh_host_keys.html

SEC Consult
http://blog.sec-consult.com/2015/11/house-of-keys-industry-wide-https.html
想定される影響と対策
遠隔の攻撃者に、ユーザになりすまされたり、中間者 (man-in-the-middle) 攻撃を受けたり、通信内容を解読されたりする可能性があります。結果として、機密情報が漏えいする可能性があります。
2015年11月26日現在、ほとんどの機器において対策方法は不明です。いくつかの開発者は、アップデートや情報を公開する予定であるとのことで、新たな情報が判明次第、CERT/CC Vulnerability Note VU#566724 の Vendor Information が更新される予定です。さらに詳しい情報は、開発者へお問い合わせください。 CERT/CC Vulnerability Note VU#566724 の Vendor Information http://www.kb.cert.org/vuls/id/566724#vendors [ワークアラウンドを実施する] 次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。 　* 可能であれば手動で X.509 証明書と SSH ホスト鍵を変更する 　* アクセスを制限する
JVN情報　※( )内はCVSS v2の値
深刻度 N/A 5.0
CVECVE-2015-7255
公表日2015/11/25 00:00
登録日2016/02/29 16:55
更新日2018/02/28 13:56
CVSS v3情報
…
全ての情報を閲覧するにはユーザー登録（無料）またはログインが必要です。
新規登録
ログイン
Update
JVNDB-2015-006907

組込み機器に固有でない X.509 証明書および SSH ホスト鍵を使用している問題

N/A
2018/02/28 13:56
CVE-2015-6358
JVNDB-2015-006907
組込み機器に固有でない X.509 証明書および SSH ホスト鍵を使用している問題
概要
多くの組込み機器が、固有でない X.509 証明書と SSH ホスト鍵を使用しているため、なりすましや中間者 (man-in-the-middle) 攻撃、通信内容の解読などの攻撃を受ける可能性があります。

暗号鍵がハードコードされている問題 (CWE-321)
SEC Consult の Stefan Viehböck の調査によると、多くの組込み機器が、固有でない X.509 証明書と SSH ホスト鍵を使用して、インターネットからアクセス可能な状態にあるとのことです。ファームウェアイメージに、ハードコードされた鍵や、インターネットをスキャンして蓄積されたレポジトリである scans.io (特に SSH の結果と、SSL 証明書) のデータとフィンガープリントが一致する証明書を使用している機器は脆弱だと判断できます。影響を受ける機器は家庭用ルータや IP カメラから VoIP 製品にまで多岐に渡ります。

CWE-321: Use of Hard-coded Cryptographic Key
http://cwe.mitre.org/data/definitions/321.html

scans.io
https://scans.io/

SSH の結果
https://scans.io/series/ssh-rsa-full-ipv4

SSL 証明書
https://scans.io/study/sonar.ssl

多くの脆弱な機器では、証明書や鍵の再利用は特定の開発者による限られた製品ラインに留まっていますが、複数の開発者で同一の証明書や鍵を使用している例もいくつか存在します。これらは、共通の SDK を使用して開発されたファームウェア、または ISP が提供する OEM 機器のファームウェアを使用していることが根本的な原因となっています。

脆弱な機器はなりすましや中間者 (man-in-the-middle) 攻撃を受けたり、通信内容を解読されたりする可能性があります。おそらく攻撃者は認証情報やその他の機密情報を取得することができ、それらを更なる攻撃に使用することが可能です。調査結果と、証明書や SSH ホスト鍵の問題の影響を受けるシステムのさらに詳しい情報は、SEC Consult のブログ記事を参照してください。

証明書
https://www.sec-consult.com/download/certificates.html

SSH ホスト鍵
https://www.sec-consult.com/download/ssh_host_keys.html

SEC Consult
http://blog.sec-consult.com/2015/11/house-of-keys-industry-wide-https.html
想定される影響と対策
遠隔の攻撃者に、ユーザになりすまされたり、中間者 (man-in-the-middle) 攻撃を受けたり、通信内容を解読されたりする可能性があります。結果として、機密情報が漏えいする可能性があります。
2015年11月26日現在、ほとんどの機器において対策方法は不明です。いくつかの開発者は、アップデートや情報を公開する予定であるとのことで、新たな情報が判明次第、CERT/CC Vulnerability Note VU#566724 の Vendor Information が更新される予定です。さらに詳しい情報は、開発者へお問い合わせください。 CERT/CC Vulnerability Note VU#566724 の Vendor Information http://www.kb.cert.org/vuls/id/566724#vendors [ワークアラウンドを実施する] 次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。 　* 可能であれば手動で X.509 証明書と SSH ホスト鍵を変更する 　* アクセスを制限する
JVN情報　※( )内はCVSS v2の値
深刻度 N/A 5.0
CVECVE-2015-6358
公表日2015/11/25 00:00
登録日2016/02/29 16:55
更新日2018/02/28 13:56
CVSS v3情報
…
全ての情報を閲覧するにはユーザー登録（無料）またはログインが必要です。
新規登録
ログイン