HCL Domino Serverの外向きTLS通信を傍受される脆弱性
HCL Domino Serverが外部へ接続するとき、偽のサーバー証明書を見抜けず、通信を盗み見・改ざんされる恐れがあります。eMudhraの中間CA証明書8件の秘密鍵が漏えいしたことが原因です。Domino Serverを運用している組織は、HCLの告知で影響版と修正版を確認し、外部へ出る接続の洗い出しから始めてください。
急ぎ度: 早めに
CVSS v4は9.1と高く、認証なしでネットワークから狙えますが、KEVへの掲載は確認されておらず、修正版の情報もまだ確認できないため、まず影響範囲を確定させる段階です。
関係があるか
HCL Domino Serverを自社で運用し、外部のサーバーへTLSで接続する機能を使っている組織が対象です。オンプレミスでもクラウド上の自社運用でも、外向きの接続がなければ関係は薄くなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| HCL Domino Server | 版の範囲はHCLの告知（KB0134742）で確認してください | 修正版の版番号もHCLの告知で確認してください |
確かめ方
- 1資産台帳や構成管理表で、HCL Domino Serverが稼働しているサーバーを洗い出す。
- 2Domino Serverから外部のサーバーへ接続する機能（外部サービスの呼び出しや連携など）を使っているか、運用担当者とアプリ開発担当者に聞く。
- 3稼働中のDomino Serverの版を確認し、HCLの告知（KB0134742）に載っている影響版と照らし合わせる。
何が起きたか
HCL Domino Serverが外部のサーバーへ接続するとき、本物でない証明書を正規のものと受け入れてしまうおそれがあります。その結果、通信の途中で内容を読まれたり、書き換えられたりします。
原因は、eMudhraの中間CA証明書8件の秘密鍵が漏えいしたことです。漏えいした鍵で署名された証明書は、証明書の連鎖をたどると正規のものと区別できません。Domino Serverの外向き通信は、この信頼関係に頼っているため影響を受けます。
分類はCWE-327で、重大度はcritical、CVSS v4は9.1です。公開日は2026年10月27日で、HCLがサポート記事KB0134742で案内しています。
攻撃の流れ
-
1
中間CA鍵の漏えい
eMudhraの中間CA証明書8件の秘密鍵が外部に漏れています。
-
2
偽の証明書を用意
漏えいした鍵を使えば、正規に見える偽のサーバー証明書を作れます。
-
3
通信経路に割り込む
Domino Serverの外向き通信の途中に、攻撃者が入り込みます。
-
4
偽証明書を信頼
Domino Serverが偽の証明書を本物と判断し、接続を続けます。
-
5
盗み見・改ざん
TLSで守られているはずの通信内容を読まれ、書き換えられます。
どう悪用されるか
攻撃者に認証は要りません。ネットワーク経由で狙え、利用者の操作も必要ありません。ただしCVSSのベクターには、攻撃の成立に特定の条件が必要だと記されています（AT:P）。中間者攻撃の性質上、Domino Serverの外向き通信の経路に割り込める位置が必要になるとみられます。
成立したときの被害は、通信内容の機密性と完全性の両方に及びます。外部サービスへ送るデータを読まれる恐れがあり、返ってくる応答を書き換えられれば、Dominoのアプリケーションが誤った情報で動くことも考えられます。可用性への影響はCVSSでは想定されていません。
今すぐやること
-
1
HCLの告知を読み、影響版と修正版を確認する
HCLのサポート記事KB0134742で、対象の版、修正版、案内されている対処手順を確認します。
-
2
自社のDomino Serverの版を確認する
稼働しているサーバーすべてで版を確認し、告知の影響版と照らし合わせます。サーバーコンソールで次のコマンドを実行すると、版を確認できます。
show server -
3
外部への接続先を洗い出す
Domino Serverが外部へTLSで接続している機能と接続先を一覧にします。傍受されたときに困るデータを扱う接続から優先順位を付けます。
-
4
修正版に更新する
修正版が出ていれば、テスト環境で外向き通信の動作を確かめたうえで、本番に適用します。
すぐ更新できないとき
すぐに更新できないときは、HCLの告知に回避策が書かれていればそれに従ってください。そのうえで、Domino Serverから外へ出る通信を必要な接続先だけに絞り、使っていない外部連携は止めておくと、割り込まれる機会を減らせます。外向きの通信を管理下のプロキシー経由に限る方法も有効です。
背景
Domino Serverは、メールや社内の業務アプリを動かす基盤として使われます。日本では長く使われてきた企業も多く、機密性の高い情報が載りやすい製品です。外部のサービスと連携すると、Domino Serverは接続先の証明書が正規の認証局につながるかどうかで相手を信用します。今回の問題はこの信頼の土台にあり、製品のコードの誤りとは性質が違います。
認証局の鍵が漏れると、その認証局を信頼するソフトウェアはどれも偽の証明書を見分けられなくなります。2011年にDigiNotarの認証局が侵入を受けて偽の証明書が発行された事件では、ブラウザー各社が該当の認証局を信頼する対象から外しました。今回も同様に、eMudhraの該当証明書を信頼しない形で各製品が対処することになると考えられます。同じ認証局を信頼するほかの製品にも、同じ種類の問題が及ぶ可能性があります。
よくある質問
Q.自社でeMudhraの証明書を使っていなければ、関係ありませんか。
Q.更新までのあいだ、Domino Serverを止める必要はありますか。
まだ分かっていないこと
- 影響する版と修正版の具体的な番号は、HCLの告知（KB0134742）で確認する必要があります。
- 外向き通信のうち、どの機能が対象かの範囲や、利用者からDominoへの接続（受信側）への影響は、はっきりしません。
- 実際の攻撃で悪用されたかどうかは、確認できていません。HCLの告知や、今後のKEVの掲載を確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| HCLSoftware | Domino Server | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Private keys for eight eMudhra intermediate CA certificates have been compromised https://emudhra.we-have-a-problem.com/ , which impacts certificate trust for outbound network request features of HCL Domino Server. An unauthenticated network attacker could spoof server certificates to execute a man in the middle (MITM) attack, enabling them to intercept and/or modify the content of outbound TLS connections.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web psirt@hcl.com
- web nvd.nist.gov
- web github.com