USBオーディオドライバにルート証明書を導入される脆弱性

勝手にルートCA証明書をインストールするという脆弱性がSavitechの製造するUSBオーディオ機器専用のドライバに存在することが判明しました。11月6日、独立行政法人情報処理推進機構（IPA）と一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）は11月6日に「Japan Vulnerability Notes（JVN）」で発表しています。

Savitech製USBオーディオ機器ドライバが勝手にルート証明書を追加

今回発見された脆弱性について

今回発見された脆弱性は「CVE-2017-9758」で、概要としてはルートCA証明書をユーザーの許可なくWindows上で信頼済みのルート証明機関ストアとしてインストールしてしまうという内容のものです。

業務でインターネットを利用するプライバシーマーク（Pマーク）取得会社がほとんどだと思いますが、プライバシーマーク（Pマーク）取得会社としても自社で取得している個人情報を保護するという観点からこのような脆弱性には注意しなければなりません。

そもそも「ルート証明書」とは何でしょうか？

「ルート証明書」とは？

インターネット上には安全なサイトが多くありますが、その一方で不正にユーザーの情報を詐取しようとするような危険なサイトも存在します。一般的にパソコンには安全でないサイトにユーザーがアクセスするのを制限したり警告したりする機能があります。

セキュリティが整備されたサイトであれば、アクセスしてくるユーザーに対してサイト側から「うちは信頼できるサイトです」という情報（SSLサーバ証明書）を送ることでそのような制限がかからないようにすることができます。そしてこの証明書を発行する所を「認証局」といいます。

実はこの証明書、だれでも作成できるものです。つまり認証局の中にも信頼できる所もあればそうでない所も存在する可能性があるわけです。

ではどうすればサーバ証明書を発行した認証局自体が信頼できる機関かどうかを確認すればよいのでしょうか。ここに今度は認証局自体が信頼できることを証明するものが必要になってくるのです。これが「ルート証明書」です。

ルート証明書による制限について

Windowsなどのパソコンにはたいてい代表的な認証局の証明書は信頼してよいという情報が入っているため、そのような認証局についてはいちいち証明を要しません。

一方無名の認証局が発行した証明書による通信については、信頼できるとの情報が乏しいためブロックします。ですがその無名の認証局のルート証明書をインストールすれば、そのパソコンではその認証局が発行するサーバ証明書を持つサイトは制限されなくなります。

今回発見された脆弱性はSavitechドライバパッケージversion2.8.0.3より前のバージョンにおいて勝手にルート証明書がインストールされてしまうというものですが、現実にこの脆弱性が悪用された場合、Savitechの秘密鍵を取得した攻撃者により、悪意のあるプログラム送信されたりWebサイト上でなりすましされたり暗号化した情報や通信が盗聴されたりする可能性があるとのことです。

プライバシーマーク取得会社の対策方法について

対策ですが、もしSavitechドライバをインストールしているプライバシーマーク（Pマーク）取得会社あれば、インストールされたルート証明書を削除し、最新のSavitechドライバに更新することが推奨されています。

・こちらの記事もおすすめです

→【Pマークって日本だけ？】