Lenovo製PCにフィッシング詐欺の被害を受けるなどの脆弱性（JVN）

IPAおよびJPCERT/CCは、Lenovoが提供するPCにHTTPSスプーフィングの脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威セキュリティホール・脆弱性

2015.2.24 Tue 19:10

独立行政法人情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は2月24日、Lenovoが提供するPCにHTTPSスプーフィングの脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。これは、同PCにバンドルされる、ユーザにあわせた広告を表示するためにユーザのネットワークトラフィックを仲介する「Superfish VisualDiscovery」が原因となっている。また、これ以外の製品も本脆弱性の影響を受ける可能性がある。

「Superfish VisualDiscoveryがインストールされたLenovo製PC」は、暗号化されたHTTPS通信内容を仲介するために、SuperfishがルートCA証明書をPCにインストールする。このため、サーバ証明書を使ってオンラインバンキングやメールサービスなどのサイトを詐称されても、Webブラウザによるアクセス時には何の警告も表示されない。この脆弱性が悪用されると、HTTPSの通信内容を傍受されたり、フィッシング詐欺の被害を受ける可能性がある。JVNでは対策方法として、Superfish VisualDiscoveryをアンインストールし、関連するルートCA証明書を削除することを挙げ、関連情報を紹介している。

《吉澤亨史（ Kouji Yoshizawa ）》