2015年02月21日
【悲報】Superfish複数の重大な脆弱性のあるSSL接続も提供してたことが判明
Lenovo製PCに入っている極悪アドウェア「Superfish」はどれだけヤバイのか？ - GIGAZINE
VisualDiscovery | SimilarProducts - Monetize Visually
Superfish - Visual Search and Image Recognition | ABOUT US
巷では Superfishが話題になってるようなのですが、皆さんおなかいっぱいだと思うので、別の視点から切り込んでみました。
取り敢えず調査のため、SuperfishをPCにインストールしてみようと思ったんだけど、 Windows 8専用だった。
VisualDiscovery | SimilarProducts - Monetize Visually
Superfish - Visual Search and Image Recognition | ABOUT US
巷では Superfishが話題になってるようなのですが、皆さんおなかいっぱいだと思うので、別の視点から切り込んでみました。
取り敢えず調査のため、SuperfishをPCにインストールしてみようと思ったんだけど、 Windows 8専用だった。
しかたないのでWin8の仮想環境
証明書、ほんとに自己証明だった(笑)
ドライバ入ってるんだけど、こっちの証明書どうなってるんだよ！
っておもったら、こっちは Thawte Code Signing をSymantecの副証明書でちゃんとやってた。
フォルダ構成見ると、思いっきり Firefox のそれですね。
自分のところのアプリはしっかり更新してるのに、nss3.dllの日付が妙に古い
確認してみたら、 3.13.6.0
「NSS」ライブラリに脆弱性、「Firefox」「Thunderbird」「Google Chrome」が更新 - 窓の杜
NSS 3.16.4 以下が影響を受ける脆弱性 CVE-2014-1568
JVNDB-2013-005157 - JVN iPedia - 脆弱性対策情報データベース
NSS 3.15.3 以下が受けるオーバーフローの脆弱性
最近だと POODLE v3.0の影響もうけるわけで、修正すべきは SSLライブラリだったのですが…。
要するに、OSやブラウザ側でSSLのセキュリティーアップデートをしても、2年近く前の、Firefox の既存の脆弱性があるバージョンでSSL接続しに行ってるので、全く意味がなくなっていたという。
通信の傍受してただけじゃなく、パソコンに新しい脆弱性も埋め込んでたってのはもう冗談じゃなくなっていますね（笑）
おまけ：
Lenovo Newsroom | LENOVO STATEMENT ON SUPERFISH
Lenovo の英語サイトの発表
Superfishに関するレノボの見解
Lenovo Japanが公開してる英語の和訳
Superfish Vulnerability - Lenovo Support (US)
Lenovo 英語のセキュリティアドバイザリ
Superfishの脆弱性 - Lenovo Support (JP)
レノボジャパン セキュリティ アドバイザリ
Lenovo CTO: We’re Working to Wipe Superfish App Off of PCs - Digits - WSJ
WSJのニュース記事英語版はこちら
レノボ、ノートPCからアドウェア消去に奔走 - WSJ
日本語版…後ろのLenovo CTOへのインタビューがすっぽり抜けてる。
後ろが面白いのに…。