終わりが見えないHeartbleed攻撃、新たな手口で無線LANが危ない：「Cupid」が一般ユーザーを狙い撃ち

OpenSSLの脆弱性を利用する「Heartbleed」の新たな攻撃手口が発見された。この手法を利用すれば企業の無線LANが無防備な状態になり、接続したデバイスが攻撃の対象になる恐れがあるという。

[Brandan Blevins，TechTarget]

　2014年4月に発覚したHeartbleedは、OpenSSLの暗号化ライブラリに含まれる重大な脆弱性だ。この問題を抱えたクライアントあるいはサーバが攻撃を受けると、最大64Kバイトのメモリが危険に晒され、X.509証明書用の暗号鍵や認証証明など、オープンソースの暗号化技術であるOpenSSLによって保護された情報が盗まれる恐れがある。

　この脆弱性は、TLS（Transport Layer Security）の「heartbeat」拡張の処理で境界チェックが欠如していることに起因するもので、TCP接続上でTLSハンドシェイクが行われた後にのみ攻撃を受ける可能性があると考えられていた。だが、ポルトガルに本社を置く情報セキュリティコンサルティング企業Sysvalueの研究者ルイス・グランゲイア氏は、OpenSSLの脆弱性を悪用する新たな手法を発見した。

関連記事

• 「Heartbleed」脆弱性で被害を受けたWebサイトの無残な姿、担当者が明かす
• いまだ広がる波紋　「Heartbleed」脆弱性を“止血”するには
• 米NSAの“最強ハッカー集団”「TAO」の背筋が凍る手口
• 更新ファイルだと思ったらマルウェア――「GOM Player事件」の脅威と対策
• Chromeユーザーが知るべき新型フィッシング詐欺、そのだましの手口とは？

EAPによってTLS接続を暴露