弱いハッシュアルゴリズムを使用して署名したSSL証明書(既知のCA)

info Nessus プラグイン ID 95631
New! プラグインの深刻度には CVSS v3 が適用されるようになりました。

プラグインの深刻度は、デフォルトで CVSS v3 を使って計算されるように更新されました。プラグインに CVSS v3 スコアがない場合には、CVSS v2 を使って深刻度が計算されます。深刻度の表示設定は、[設定]のドロップダウンで切り替えができます。

概要

証明書チェーンの既知のCA SSL証明書は、弱いハッシュアルゴリズムを使用して署名されています。

説明

リモートサービスは、暗号的に弱いハッシュアルゴリズム(例:MD2、MD4、MD5、またはSHA1)を使用して署名されたSSL証明書チェーン中の既知のCA証明書を使用しています。これらの署名アルゴリズムは、衝突攻撃に脆弱であることが知られています。攻撃者はこれを悪用して、同じデジタル署名の別の証明書を生成し、影響を受けるサービスになりすますことができます。このプラグインは、2017年1月1日より後に期限切れとなる、SHA-1で署名したすべてのSSL証明書チェーンを脆弱性として報告します。これは、GoogleがSHA-1暗号ハッシュアルゴリズムを段階的に廃止していくことに従ったものです。

ソリューション

証明書を再発行するには、認証局にお問い合わせください。

関連情報

https://tools.ietf.org/html/rfc3279

https://docs.microsoft.com/en-us/security-updates/SecurityAdvisories/2008/961509

プラグインの詳細

深刻度: Info

ID: 95631

ファイル名: ssl_weak_hash_ca.nasl

バージョン: 1.12

タイプ: remote

ファミリー: General

公開日: 2016/12/8

更新日: 2019/11/26

依存関係: ssl_certificate_chain.nasl

リスク情報

CVSS スコアのソース: manual

VPR

リスクファクター: Medium

スコア: 4.4

脆弱性情報

CPE: cpe:2.3:a:ietf:md5:*:*:*:*:*:*:*:*, cpe:2.3:a:ietf:x.509_certificate:*:*:*:*:*:*:*:*

必要な KB アイテム: SSL/Chain/KnownCA/WeakHash

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

脆弱性公開日: 2004/8/18

参照情報

CVE: CVE-2004-2761

BID: 33065, 11849

CWE: 310

CERT: 836068