CVE-2026-4648: Insufficient Encryption in Casfid NFC Wristbands (MiFare Classic)

バルナラビリティ概要 バグ名: Casfid Servicios TecnológicosのNFC手首バンドにおける暗号化レベルの不足 公開日: 2026年7月28日 識別子: INCIBE-2026-513 重大度: 3 - Medium（中程度） CVSSスコア: 6.8 CVE番号: CVE-2026-4648 記述 INCIBEの調整下で、Casfid Servicios TecnológicosのNFC手首バンドを基盤とするキャッシュレス決済システムに影響する高重大度バグが開示されました。このバグはLuis Miranda Acebedoが発見しました。 影響範囲 影響を受けるリソース: MiFare Classicチップファミリー、特にFM11RF08Sバリアント。 解決策 バグの原因がMiFare Classicファミリーに本質的に存在するハードウェアレベルの暗号化の脆弱さにあるため、決済システムや重要なアクセス制御システムにおけるこれらのチップ（FM11RF08Sバリアントなど）の使用を中止することを推奨します。最終的な解決策として、組織はより強力かつ最新の暗号化基準（例: AES-128以上）をサポートするスマートカード技術（例: MiFare DESFireファミリー（EV2またはEV3））へ移行すべきです。 詳細情報 CVE-2026-4648は、Casfid Servicios Tecnológicos S.L.U.のキャッシュレス決済システム（2024年の復活祭からバージョン管理下）で使用される、MiFare Classic技術（PM11RF08S）をベースにした手首バンドに使用されている安全でない暗号化アルゴリズムを指します。認証アルゴリズムの暗号化の脆弱性により、攻撃者はBackdoored Nested Attackと呼ばれる技術を用いてアクセスキーを取得し、手首バンドの全内容を读取し、それらの認証情報を互換性のある書き込み可能なカードにクローン化することが可能になります。このバグを悪用すると、他の参加者になりすまし、手首バンドに紐付けられた残高の不正な使用、そして影響を受けたユーザーやイベント主催者に対する財政的な損失を引き起こす可能性があります。

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-4648: Insufficient Encryption in Casfid NFC Wristbands (MiFare Classic)

目標達成すべての支援者に感謝 — 100%達成しました！