GIGAZINEさんで話題になったPrivdogに脆弱性があることも判明

先日 GIGAZINE さんのところで取り上げられてた PrivDog ですが脆弱性ニュースになっています

「PrivDog」にサーバ証明書の検証不備の脆弱性（JVN） | ScanNetSecurity (脅威、セキュリティホール・脆弱性のニュース)
SSL証明書を発行する企業が証明書を偽造する悪質なアドウェア「Privdog」を販売していたことが判明 - GIGAZINE
【悲報】多くの大手セキュリティ会社が自己署名証明書で通信を傍受する技術を使ってる事が判明

Adtrustmediaが提供する「PrivDog」にサーバ証明書の検証不備の脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。CVSSによる最大Base Scoreは8.5

MITMプロキシ機能はNetFilter SDKを使って実装されているが、「PrivDog 3.0.96.0」は、NetFilter
SDKのSSLサーバ証明書の検証機能を使用していない。そのため、スプーフィングされた、またはMITMプロキシ経由のHTTPSアクセスであっても、
Webブラウザは警告を表示しない。この問題により、偽装されたWebサイトにHTTPS通信を行ったり、HTTPSの通信の内容を傍受される可能性があ
る。JVNでは対策方法として、開発者が提供する情報をもとに最新版へアップデートするか、Privdogをアンインストールすることを呼びかけている。

要するに、通信傍受してるにも関わらず意図的に分からないように小細工していたのが、一連のニュースで明らかになったため、あわてて直したってことでいいんだろうか？

PrivDog 3.0.105.0 is now released. - News / Announcements / Feedback - PrivDog
PrivDog Advisory

この潜在的な問題は、PrivDogバージョン、3.0.96.0および3.0.97.0にのみ存在する。
PrivDogが使用するサードパーティのライブラリは、SUPERFISHが使用するのと同じサードパーティのライブラリではありません。

Comodo さんの投稿によると、また来週修正があるとのこと
これを見ると、ごく 最近のバージョンで、検出できないようにしたみたいですね。

|｡･ω･) 。o ( ユーザービリティを高めるつもりの検出迂回方法のつもりだったけど、逆に叩かれてしまったでござるの巻ってことか… )

おすすめ

3件のフィードバック

  1. 紫苑 より:
    2015年2月26日 10:47 PM

    まあやっちゃったことは仕方ないかもしれませんが…
    このスタッフの対応は舐めてるとしか。
    ttps://forums.comodo.com/general-security-questions-and-comments/komodia-superfish-vulnerability-ssl-hijacker-t109881.0.html
    んでもってこれです。
    ttp://privdog.com/advisory.html
    “minor”, “third party”, “a very small number”, “potential”辺りに注目。
    結論: Comodoは言い訳下手
    #直リン禁止ですかね…なんか弾かれる

    返信
  2. 紫苑 より:
    2015年2月27日 2:02 AM

    連投すみません。
    さらにはAdtrustmediaのサーバーに訪問先URLを平文で送信してたようです。
    https://blog.hboeck.de/archives/866-PrivDog-wants-to-protect-your-privacy-by-sending-data-home-in-clear-text.html

    返信
  3. 黒翼猫 より:
    2015年2月27日 11:16 AM

    情報ありがとうございます。調べて記事にしました

    返信

コメントを残す

メールアドレスが公開されることはありません。 ※ が付いている欄は必須項目です