ページの先頭です。
本文へジャンプする。

本ウェブサイトでは、JavaScriptおよびスタイルシートを使用しております。
お客さまがご使用のブラウザではスタイルが未適応のため、本来とは異なった表示になっておりますが、情報は問題なくご利用いただけます。

ここからサイト内共通メニューです。
サイト内共通メニューを読み飛ばす。
サイト内共通メニューここまで。
ホーム > 製品 > NEC製品セキュリティ情報 > セキュリティ情報 > 2009年 > NV09-002
ページ共通メニューここまで。

掲載番号:NV09-002
脆弱性情報識別番号:VU#836068

MD5 アルゴリズムへの攻撃を用いた X.509 証明書の偽造

概要

MD5 アルゴリズムの衝突耐性の不備を利用した攻撃法により、X.509 証明書の偽造に成功したことが報告されました。

対象製品

IP38Xシリーズ

  • 影響の有無
    あり
  • 対処方法
    1.IPsec
    (1)ipsec sa policy コマンド
    IPsec SAで使用する認証アルゴリズムにHMAC-MD5を選択した場合、受信側はデータの改竄(かいざん)を検知できない可能性があります。

    対象となる製品のバージョン:
    - IP38X/3000 全リビジョン
    - IP38X/2000 全リビジョン
    - IP38X/1500 全リビジョン
    - IP38X/1200 全リビジョン
    - IP38X/1100 全リビジョン
    - IP38X/1000 全リビジョン
    - IP38X/SR100 全リビジョン
    - IP38X/107e 全リビジョン
    - IP38X/V700シリーズ 全リビジョン
    - IP38X/105シリーズ 全リビジョン
    - IP38X/300i 全リビジョン
    - IP38X/140シリーズ 全リビジョン

    [対策]
    ルーターの設定を変更し、SAのポリシーの認証アルゴリズムをHMAC-SHAにする。
    ipsec sa policyコマンドのAH_ALGORITHMのパラメータをsha-hmac(HMAC-SHA)に設定します。

    設定例:
    ipsec sa policy POLICY_ID GATEWAY_ID ah sha-hmac
    または
    ipsec sa policy POLICY_ID GATEWAY_ID esp ESP_ALGORITHM sha-hmac

    (2)ipsec ike hash コマンド
    ISAKMP SAで使用するハッシュアルゴリズムにMD5を選択した場合、受信側はデータの改竄(かいざん)を検知できない可能性があります。

    対象となる製品のバージョン:
    - IP38X/3000 全リビジョン
    - IP38X/2000 全リビジョン
    - IP38X/1500 全リビジョン
    - IP38X/1200 全リビジョン
    - IP38X/1100 全リビジョン
    - IP38X/1000 全リビジョン
    - IP38X/SR100 全リビジョン
    - IP38X/107e 全リビジョン
    - IP38X/V700シリーズ 全リビジョン
    - IP38X/105シリーズ 全リビジョン
    - IP38X/300i 全リビジョン
    - IP38X/140シリーズ 全リビジョン

    [対策]
    ルーターの設定を変更し、IKEが用いるハッシュアルゴリズムをSHA-1にする。
    ipsec ike hash コマンドのALGORITHMのパラメータをsha(SHA-1)に設定します。

    設定例:
    ipsec ike hash GATEWAY_ID sha

    2.PPP
    (1)pp auth accept コマンド, pp auth request コマンド
    PPPの通信を行う際に、pp auth accept、pp auth requestコマンドで認証方式にCHAPを指定している場合、なりすましを受ける可能性があります。

    対象となる製品のバージョン:
    - IP38X/3000 全リビジョン
    - IP38X/2000 全リビジョン
    - IP38X/1500 全リビジョン
    - IP38X/1200 全リビジョン
    - IP38X/1100 全リビジョン
    - IP38X/1000 全リビジョン
    - IP38X/SR100 全リビジョン
    - IP38X/58i 全リビジョン
    - IP38X/107e 全リビジョン
    - IP38X/250i 全リビジョン
    - IP38X/V700シリーズ 全リビジョン
    - IP38X/57i 全リビジョン
    - IP38X/105シリーズ 全リビジョン
    - IP38X/300i 全リビジョン
    - IP38X/140シリーズ 全リビジョン

    ※2009/03/27時点で対応済みファームウェアはリリースされていません。
    なりすましを受ける可能性があることを十分にご理解した上でご利用ください。

    3.OSPF
    (1)ospf areaコマンド
    OSPFを使用する際に、ospf areaコマンドで認証アルゴリズムをMD5に設定していると、なりすましを受ける可能性があります。

    対象となる製品のバージョン:
    - IP38X/3000 全リビジョン
    - IP38X/2000 全リビジョン
    - IP38X/1500 全リビジョン
    - IP38X/1200 全リビジョン
    - IP38X/1100 全リビジョン
    - IP38X/1000 全リビジョン
    - IP38X/SR100 全リビジョン
    - IP38X/107e 全リビジョン
    - IP38X/250i 全リビジョン
    - IP38X/105シリーズ 全リビジョン
    - IP38X/300i 全リビジョン
    - IP38X/140シリーズ 全リビジョン

    ※2009/03/27時点で対応済みファームウェアはリリースされていません。
    なりすましを受ける可能性があることを十分にご理解した上でご利用ください。

    4.RADIUS
    (1)radius secretコマンド
    RADIUSを使用する際にradius secretコマンドを設定していると、なりすましを受ける可能性があります。

    対象となる製品のバージョン:
    - IP38X/3000 全リビジョン
    - IP38X/1500 全リビジョン
    - IP38X/1200 全リビジョン
    - IP38X/1100 全リビジョン
    - IP38X/1000 全リビジョン
    - IP38X/SR100 全リビジョン
    - IP38X/250i 全リビジョン
    - IP38X/105シリーズ 全リビジョン
    - IP38X/300i 全リビジョン
    - IP38X/140シリーズ 全リビジョン

    ※2009/03/27時点で対応済みファームウェアはリリースされていません。
    なりすましを受ける可能性があることを十分にご理解した上でご利用ください。

    5.SSH
    (1)SSHでルーターにログインする場合
    SSHでルーターにログインする場合、メッセージ認証方式にHMAC-MD5を使用していると、改竄(かいざん)されたメッセージを検知できない可能性があります。

    対象となる製品のバージョン:
    - IP38X/3000 全リビジョン
    - IP38X/1200 全リビジョン
    - IP38X/SR100 全リビジョン
    - IP38X/58i 全リビジョン
    - IP38X/1500 Rev.8.03.37以降
    - IP38X/1100 Rev.8.03.37以降
    - IP38X/107e Rev.8.03.42以降

    [対策]
    SSHクライアントでメッセージ認証方式としてhmac-md5を優先して使用する設定がされている場合、hmac-sha1が優先されるよう設定を変更してください。なお、設定を変更できないSSHクライアントにおいては、対策方法はありませんので、改竄(かいざん)されたメッセージを検知できない可能性があることを十分にご理解した上でご使用ください。

    6.電話帳サーバー機能
    (1)sip userコマンド
    電話帳サーバー機能を使用する際に、sip userコマンドで認証方式にdigest認証を使用していると、なりすましを受ける可能性があります。

    対象となる製品のバージョン:
    - IP38X/V01(RTV01) 全リビジョン

    ※2009/03/27時点で対応済みファームウェアはリリースされていません。
    なりすましを受ける可能性があることを十分にご理解した上でご利用ください。

参考情報

更新情報

2009/06/08
新規登録しました。
Copyright NEC Corporation. All rights reserved.