NT OneAPPに固定鍵の欠陥、ログイン情報が漏えいのおそれ
NewType Infortech の NT OneAPP 1.5.22 以前に、暗号鍵がプログラムに固定で埋め込まれている弱点が見つかりました。認証なしの遠隔の攻撃者がログイン通信の中身を解読し、利用者のアカウント情報と機器情報を得るおそれがあります。利用中の組織は、版の確認とベンダーへの修正版の問い合わせを進めてください。
急ぎ度: 早めに
認証なしで遠隔から悪用できる弱点ですが、実際の攻撃での悪用は確認されておらず、成立には通信を傍受できる位置などの条件が必要とみられるためです。
関係があるか
NewType Infortech の NT OneAPP を社内やインターネット上で運用している組織が対象です。特に、利用者が外部ネットワークからログインする構成では優先して確認が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| NT OneAPP(NewType Infortech) | 1.5.22 以前 | 修正版の版番号は公表されていません。ベンダーまたは TWCERT/CC の告知で確認してください |
確かめ方
- 1資産台帳や調達記録で、NT OneAPP を導入しているか、導入先の部署や拠点を洗い出します。
- 2管理画面や製品の情報画面、または導入時の資料で、稼働中の版が 1.5.22 以下かどうかを確認します。
- 3ログイン画面がインターネットや取引先、拠点間ネットワークに公開されているかを、ネットワーク担当者と確認します。
- 4導入や保守を委託している場合は、保守ベンダーに版と修正版の提供状況を問い合わせます。
何が起きたか
NT OneAPP は、NewType Infortech が開発した製品です。この製品のログインの仕組みに、暗号鍵がプログラムの中へ固定で埋め込まれているという欠陥が見つかりました。鍵が固定されていると、製品を入手できる人なら誰でも同じ鍵を取り出せます。そのため、ログイン時に送られる暗号化された内容が、第三者に読み取られるおそれがあります。
公表されている説明によると、認証なしで遠隔からこの鍵を入手した攻撃者が、ログイン要求の内容を解読できます。その結果、利用者のアカウント情報(平文のID・パスワード)と機器情報が得られる可能性があります。
弱点の種類は CWE-798(ハードコードされた認証情報・鍵の使用)に分類されています。暗号化していても、鍵が全利用者で共通かつ固定だと、暗号化の効果が大きく損なわれます。
攻撃の流れ
-
1
鍵の入手
攻撃者が、製品に固定で埋め込まれた暗号鍵を入手します。
-
2
通信の入手
ログイン要求の暗号化された内容を、通信経路上などで入手します。
-
3
内容の解読
入手した鍵でログイン要求を復号します。
-
4
情報の取得
平文のアカウント情報と機器情報が攻撃者に渡ります。
-
5
不正利用
取得した認証情報で、正規の利用者として操作されるおそれがあります。
どう悪用されるか
攻撃者に認証は必要なく、利用者の操作も要りません。ネットワーク越しに悪用でき、CVSS v3.1 では攻撃条件の複雑さが高(AC:H)とされています。ログイン通信の内容を入手する必要があるなど、攻撃が成立するための前提条件があるとみられます。具体的な条件は公表されていません。
悪用された場合、ID・パスワードと機器情報の機密性が大きく損なわれ、取得した認証情報で不正にログインされるおそれがあります。スコアは CVSS v3.1 が 7.4(High)、CVSS v4.0 が 9.1 です。実際の攻撃での悪用を示す KEV への掲載は、現時点で確認されていません。EPSS の値も示されていません。
今すぐやること
-
1
利用状況と版を確認する
NT OneAPP の導入有無と稼働中の版を確認し、1.5.22 以前なら対象として扱います。
-
2
ベンダーに修正版を問い合わせる
修正版の版番号と入手方法は公表されていません。NewType Infortech または保守ベンダーに問い合わせ、TWCERT/CC の告知も参照します。修正版が出たら速やかに適用します。
-
3
公開範囲を絞る
ログイン画面をインターネットに公開している場合は、VPN の利用や接続元 IP アドレスの制限で、到達できる範囲を狭めます。
-
4
パスワードの変更を検討する
通信が傍受されていた可能性を否定できない場合は、利用者のパスワードを変更します。同じパスワードを他のシステムで使い回していないかも確認します。
-
5
ログイン記録を点検する
心当たりのない時間帯や接続元からのログインがないか、認証ログを見直します。
すぐ更新できないとき
修正版が公表されていないため、公開範囲の制限が現実的な軽減策です。ログイン画面への接続を VPN 経由や許可した IP アドレスだけに限り、通信経路を信頼できるネットワークに限定してください。ただし、固定鍵そのものの問題は取り除けないため、根本的な解決にはなりません。
背景
NT OneAPP のような業務用の管理・アクセス系の製品は、社内の多くの利用者の認証情報や機器の情報を扱います。そのため、ログインの仕組みに欠陥があると、その製品だけでなく、同じ認証情報を使う他のシステムにも影響が広がりやすくなります。
暗号鍵やパスワードをプログラムに直接書き込む「ハードコード」の問題は、さまざまな製品で繰り返し報告されてきた典型的な弱点です。製品を入手して解析すれば固定の値を取り出せるため、一度知られると、その製品の全利用者に影響が及びます。
よくある質問
Q.ID・パスワードは暗号化されて送られているので安全ではないのですか。
Q.すでに攻撃に使われていますか。
Q.社内ネットワークだけで使っていれば問題ありませんか。
まだ分かっていないこと
- 修正版の版番号と提供時期は公表されていません。
- 攻撃が成立するための具体的な条件や、実際に狙われているかどうかは公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| NewType Infortech | NT OneAPP |
1.5.22 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
NT OneAPP developed by NewType Infortech has a Hard-coded Credentials vulnerability. Unauthenticated remote attackers can obtain the hard-coded cryptographic key and decrypt login request contents, thereby obtaining users' plaintext account credentials and device information.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web twcert@cert.org.tw
- web twcert@cert.org.tw
- web nvd.nist.gov
- web github.com