NT OneAPP、証明書検証不備で通信を盗聴・改ざんされるおそれ
NewType Infortech の NT OneAPP 1.5.22 以前に、サーバー証明書とホスト名を検証しない不備(CVE-2026-114220)が見つかりました。通信経路に入り込める攻撃者に、アプリとサーバー間の通信を盗み見られたり書き換えられたりするおそれがあります。利用している組織は、版の確認とベンダー告知の確認を早めに進めてください。
急ぎ度: 早めに
CVSS v3.1 は 9.1 と高く認証も不要ですが、攻撃には通信経路上の位置が必要で、実際の攻撃での悪用は現時点で明らかになっていないためです。
関係があるか
NT OneAPP を業務で使っている組織が対象です。特に、社外のネットワークや公衆 Wi-Fi など、自社で管理していない回線を通じて使っている場合は影響を受けやすくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| NewType Infortech NT OneAPP | 1.5.22 以前 | 修正版の版番号は公表されていません。ベンダーの告知で確認してください |
確かめ方
- 1NT OneAPP を導入している端末やシステムを洗い出します。部門ごとの個別導入や、利用者が自分で入れたものも含めて確認してください。
- 2導入している NT OneAPP の版が 1.5.22 以下かどうかを、アプリの情報画面や資産管理台帳で確かめます。
- 3そのアプリがどのネットワークを通ってサーバーに接続しているかを把握します。社外回線や無線 LAN を経由している場合は優先して対応してください。
- 4NewType Infortech からの案内と、台湾の TWCERT/CC の告知(https://www.twcert.org.tw/en/cp-139-11299-0cbfd-2.html)で、修正版の有無を確認します。
何が起きたか
NT OneAPP に、通信相手が本物かどうかを確かめる処理が不十分という弱点が見つかりました。インターネットの通信では、接続先のサーバーが提示する証明書を確認し、本当に目的のサーバーかどうかを見極めるのが基本です。この製品はその確認をしておらず、偽のサーバーに接続しても気づけません。
結果として、通信の途中に割り込む中間者攻撃を受けると、アプリとサーバーの間でやり取りされる内容を盗み見られたり、書き換えられたりするおそれがあります。例えるなら、相手の身分証を見ずに荷物を渡してしまう状態です。
技術的には、サーバー証明書の検証とホスト名の検証の両方が行われていないと説明されています。弱点の種類は CWE-295(不適切な証明書検証)です。認証は不要で、利用者の操作も要りません。影響は機密性と完全性に及び、可用性への影響は想定されていません。
攻撃の流れ
-
1
経路に入る
攻撃者が、利用者とサーバーの間の通信経路に入り込める位置を確保します。
-
2
偽サーバーを装う
本物のサーバーになりすまして、アプリからの接続を受け止めます。
-
3
検証をすり抜ける
NT OneAPP は証明書とホスト名を確認しないため、偽の相手を疑わず通信を続けます。
-
4
通信を盗む・改ざん
やり取りされる情報を読み取ったり、内容を書き換えたりされるおそれがあります。
どう悪用されるか
悪用に認証は必要なく、利用者が何かを操作する必要もありません。ただし、攻撃者がアプリとサーバーの通信経路に入り込める位置にいることが前提です。公衆 Wi-Fi、管理の甘い社内外のネットワーク、経路上の機器が乗っ取られている環境などが当てはまります。
悪用されると、通信内容の漏えいと改ざんの両方が起こりえます。CVSS の評価でも機密性と完全性への影響が高いとされています。実際にどんな情報がやり取りされるかは製品の使い方次第ですが、ログイン情報や業務データが含まれる場合は特に注意が必要です。
なお、実際の攻撃で悪用されたかどうかは、現時点で明らかになっていません。
今すぐやること
-
1
利用状況と版を確認する
NT OneAPP を使っている端末・システムを洗い出し、版が 1.5.22 以下かを確認します。
-
2
ベンダーの告知を確認する
NewType Infortech からの案内と TWCERT/CC の告知で、修正版や更新手順が出ているかを確かめます。修正版の版番号は公表されていません。
-
3
修正版が出ていれば更新する
修正版が提供されている場合は、検証環境で動作を確認したうえで、利用端末へ順に適用します。
-
4
利用するネットワークを見直す
更新までの間、公衆 Wi-Fi など信頼できない回線からの利用を控え、管理された社内ネットワークや VPN 経由に限ることを検討します。
-
5
認証情報の扱いを点検する
信頼できない回線で古い版を使っていた場合は、アプリで使うパスワードやトークンの変更を検討し、不審なアクセスがないか確認します。
すぐ更新できないとき
公表されている回避策はありません。修正版が適用できるまでは、信頼できない回線での利用をやめ、管理された社内ネットワークや VPN を通した接続に限ることで、通信経路に入り込まれる機会を減らせます。ただし、これは弱点そのものを直すものではないため、修正版の適用までの暫定対応として扱ってください。
背景
NT OneAPP のような業務向けアプリは、サーバーとの間で認証情報や業務データをやり取りすることが多く、通信の安全性は証明書の検証に支えられています。検証が働かないと、暗号化された通信を使っていても、相手が偽物であることに気づけません。
証明書やホスト名の検証が不十分という種類の弱点は、モバイルアプリや組み込み機器、業務ソフトなど幅広い製品でこれまでも繰り返し報告されてきました。開発中の動作確認のために検証を省略し、そのまま製品に残ってしまうことが原因の一つとされています。
よくある質問
Q.通信は暗号化されているのに、なぜ盗聴されるのですか。
Q.社内ネットワークだけで使っていれば安全ですか。
Q.すでに悪用されていますか。
まだ分かっていないこと
- 修正版の版番号と提供状況は公表されていません。
- 実際の攻撃での悪用の有無は、現時点で明らかになっていません。
- 説明文には「ネットワーク上の隣接した位置」の攻撃者とありますが、CVSS の評価値では「ネットワーク経由」とされており、攻撃者に必要な位置の詳細は公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| NewType Infortech | NT OneAPP |
1.5.22 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
NT OneAPP developed by NewType Infortech has an Improper Certificate Validation vulnerability. Unauthenticated network-adjacent attackers can perform a man-in-the-middle attack by failing to validate the server certificate and the hostname, thereby intercepting or modifying communications between the application and the server.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web twcert@cert.org.tw
- web twcert@cert.org.tw
- web nvd.nist.gov
- web github.com