注目★★★★★GitHub Advisory
QUIC の TLS 検証機能が完全に無効化、man-in-the-middle 攻撃に脆弱
30秒で把握
- 1QUIC クライアントの TLS 検証機能が実装されておらず、シグネチャ検証・証明書チェーン検証・ホスト名照合が無効化
- 2HTTP/3 も同じコードで影響受領・man-in-the-middle 攻撃で任意サーバーに成りすまし可能・機密性と完全性を喪失
- 3バージョン 1.4.4 で修正完了・本番環境は即更新・証明書チェーンが OS ストアに含まれることを確認
要約
QUIC クライアントが TLS 1.3 ハンドシェイク時にサーバー認証を実施していなかった。CertificateVerify シグネチャ検証、証明書チェーン検証、ホスト名検証がすべて機能せず、接続相手の身元が検証されていなかった。HTTP/3 も同じコードベースであるため同様に脆弱だった。ネットワーク上の攻撃者は任意の証明書を提示して任意のサーバーに成りすまし、通信の機密性と完全性を破ることが可能だった。
あなたへの影響
QUIC ライブラリを依存に含むアプリケーション (API クライアント、マイクロサービス間通信、リバースプロキシ等) を運用するチームは、即座に 1.4.4 以上への更新を実施し、テスト環境で通信相手の証明書検証が正常に機能することを確認すべき。
推奨：特に `verify => false` に明示的に設定していない場合は、デフォルト動作で検証が有効化されるため、自社インフラの証明書チェーンが信頼ストア (OS の証明書ストア) に含まれていることを前提に更新を進める。