バンク・オブ・アメリカ、VMware、米国退役軍人省、ビジネス コンサルタント会社 Accenture などが所有または運営する Web サイトを含む、世界有数の Web サイトの一部は、盗聴やなりすましを阻止するために設計されたトランスポート層セキュリティ暗号化を回避する単純な攻撃に対して脆弱です。
この攻撃は、2か月前に公開された、トランスポート層セキュリティ（TLS）に類似した暗号化プロトコルであるセキュアソケットレイヤー（SSL）に対する、いわゆるPOODLEエクスプロイトの亜種です。「Padding Oracle On Downgraded Legacy Encryption（ダウングレードされたレガシー暗号化のパディングオラクル）」の略称であるPOODLEは、Wi-Fiホットスポットやその他のセキュリティ保護されていないインターネット接続を監視している攻撃者が、古いSSLバージョン3で暗号化されたHTTPSトラフィックを解読できるというものでした。ブラウザメーカーは迅速に対応し、SSLv3の使用を制限または廃止しました。これにより、このバグの悪用は広範囲に及ばなかったようです。
月曜日、広く普及しているTLS実装に対して有効なPOODLE攻撃の亜種が存在するという情報が浮上しました。本記事の執筆時点では、セキュリティ企業Qualysが提供する無料サービス「SSL Server Test」が、インターネット上の主要ウェブサイトの一部（バンク・オブ・アメリカ、VMware、米国退役軍人省、アクセンチュアなど）が影響を受けることを示していました。この脆弱性は深刻で、Qualysのサービスでは、影響を受けると判明したすべてのサイトに不合格判定が下されました。
更新: Accenture の代表者は、Qualys から不合格の評価を受けたサイトである accenture.com はコンテンツを提供しておらず、すべてのトラフィックをコンテンツ配信ネットワーク www.accenture.com にリダイレクトしており、Qualys は POODLE スタイルの攻撃に対して脆弱ではないと示していると述べました。
クレジット: Qualys
クッキーを一切れずつ盗む
POODLEはセキュリティ専門家にとって懸念材料でしたが、攻撃者は実環境ではしばしば困難となる複数の手順を踏む必要がありました。攻撃者は、ウェブサイトとエンドユーザー間で送信されるパケットを偽装し、SSLv3の使用を強制する必要がありました。また、暗号化されたペイロードの内容を1文字ずつ推測できるようになるまで、トランザクションを何千回も微修正する必要がありました。パディングオラクルを用いてペイロードの内容を推測することで、攻撃者は認証クッキーやセキュリティトークンを入手し、ユーザーアカウントや脆弱なウェブサイトのその他の制限されたセクションにアクセスできるようになります。新たに公開されたTLSに対する攻撃も同様ですが、実行の難易度はやや低くなっています。