リリース

影響確認 (1)

• securityazure_imdsのノードアテーション文書検証を修正

  azure_imdsサーバーノードアテスタープラグインを使用している場合に適用されます。

  PKCS7の証明書バッグに含まれる最初の証明書を信頼済みAzureルートに対して検証する一方、署名はPKCS7のSignerInfoから解決した別の署名者証明書で検証していました。この不整合を修正し、正規のAzureメタデータ証明書と無関係な証明書による署名を組み合わせた偽造文書が受け入れられないようにしました。

影響確認 (1)

• securityazure_imds のノード証明書検証の修正

  サーバーのノードアテスター・プラグイン azure_imds を使用している場合に適用されます。

  azure_imds のサーバー・ノードアテスターで、証明書バッグ内の最初の証明書を信頼済み Azure ルートに基づいて検証する一方、署名は PKCS7 の SignerInfo から解決した別の署名者証明書で検証していました。この不一致を悪用すると、攻撃者は正規の Azure メタデータ証明書と無関係な証明書で署名した内容を同じバッグに入れ、偽造した証明書付き文書を受け入れさせて、任意の仮想マシンになりすませました。検証時に証明書と署名者の対応が一致するよう修正されています。