eSecurity Planet のコンテンツおよび製品に関する推奨事項は、編集上の独立性を保っています。当サイトのリンクを経由してパートナー先のサービスをご利用いただくことで、収益が発生する場合があります。 詳細はこちら
Finite Stateのセキュリティ研究者らは、インターネットに接続されたWansview WVC Q5カメラに複数の脆弱性が存在することを明らかにしました。その中には、20年以上前に初めて報告されたディレクトリトラバーサルの欠陥も含まれています。
今回の調査結果は、古いサードパーティ製ソフトウェアが現代のIoTデバイスをどのように認証情報の窃取やサービス拒否（DoS）、さらには遠隔からの侵害の危険にさらし得るかを示しています。
Finite StateでVP of Servicesを務めるLarry Pesce氏によると、この発見は安価で入手しやすく、ベビーモニターや家庭用防犯カメラとして広く使われている一般消費者向け機器を対象とした通常のテストの一環から始まったといいます。
WansviewのIoTカメラ脆弱性に関する主なポイント
- 研究者らは、現行のWansview製IoTカメラに数十年前から存在するディレクトリトラバーサルの脆弱性を発見
- 攻撃者は認証なしに認証情報、クラウドAPIトークン、その他の機密ファイルにアクセス可能
- 共有される白ラベル型ファームウェアプラットフォームにより、脆弱性が複数のIoTブランドに波及する恐れ
- SBOM（ソフトウェア部品表）と継続的なソフトウェアインベントリ管理により、古いサードパーティ製コンポーネントがリスク化する前に特定可能
- 組織はIoTデバイスをセグメント化し、ソフトウェアインベントリを維持し、悪用可能性に基づいて脆弱性への対応優先度を決めるべき
IoTカメラに残る旧式Webサーバーの脆弱性
研究者らは、カメラのSDカードに保存された画像を配信するために、昇格した権限で稼働している旧式のWebサーバーjdbhttpd/0.1.0を発見しました。
このソフトウェアには、数十年にわたって公に知られてきたディレクトリトラバーサルの脆弱性であるCVE-2002-1819が含まれていました。
旧式IoT脆弱性が機密デバイス情報を露呈
Pesce氏によると、この脆弱性を突くには、ディレクトリトラバーサルのシーケンスを含む単一の未認証HTTPリクエストを送るだけで、Webサーバーが本来意図していないディレクトリの外側にあるファイルにアクセスできてしまうといいます。
脆弱なサービスが特権的なアクセス権で動作しているため、攻撃者はパスワードハッシュ、平文の管理者認証情報、クラウドAPIトークン、システム設定ファイル、さらにはWebサーバーのバイナリ自体まで、機密ファイルを取得できる可能性があります。
Pesce氏はこの脆弱性について、認証を必要とせずに広範なシステムアクセスを可能にすることから「合鍵（skeleton key）」と表現しています。
この露出はカメラ自体にとどまりません。
研究者らは、攻撃者がデフォルトまたは使い回された認証情報を入手した場合、同一ネットワーク上の他のデバイスにもアクセスできる可能性があると指摘しています。また、クラウドAPIトークンによって、クラウド上でホストされている映像ストリームやデバイス管理サービスが露出する恐れもあるとしています。
デバイスのバイナリをダウンロードすることで、攻撃者はオフラインで追加の脆弱性を解析し、リモートコード実行のエクスプロイトを開発できる余地も生まれます。
さらなるIoT脆弱性がセキュリティリスクを増大
Finite Stateは、特別に細工した未認証のHTTP POSTリクエストを使うことで、カメラのWebサーバーを繰り返しクラッシュさせられる2件のバッファオーバーフロー脆弱性も特定しました。
研究者らはリモートコード実行を実証したわけではありませんが、Pesce氏は、公開されたエクスプロイトが存在しないことをもって悪用が不可能だと判断すべきではないと強調しています。
同氏は、今回の調査期間ではエクスプロイト開発を完了させるだけの時間が単に足りなかったにすぎず、執念深い攻撃者であれば研究者らが中断した地点から先へ進める可能性が高いと付け加えました。
防犯カメラにとって、繰り返しのクラッシュはそれ自体がセキュリティ上の懸念となります。攻撃の最中に録画ができなくなり、監視が最も必要とされる場面でサービス拒否状態を招くことになるためです。
白ラベル型IoTプラットフォームがソフトウェアサプライチェーンリスクを高める仕組み
今回の調査は、IoT市場におけるより広範なソフトウェアサプライチェーンの懸念も浮き彫りにしています。
Pesce氏によれば、Wansview製の当該デバイスはAjCloudが開発した共有の白ラベル型プラットフォーム上に構築されており、開示プロセスの過程でIOTECH（Shenzhen）の関与も確認されたといいます。
複数のベンダーが同一の基盤となるハードウェアやファームウェアを異なるブランド名で再販するケースが多いため、あるプラットフォームに影響する脆弱性が数多くの製品に波及する可能性があります。
Pesce氏は、研究者らが修正を確認できたのはテスト対象となったWansviewの当該モデルのみであり、同一プラットフォーム上に構築された他製品のセキュリティ状況は不明なままだと指摘しています。
脆弱なWebサーバーは標準的なHTTPバナーを通じて自身のバージョン情報を公開しているため、インターネット全体を対象とした検索ツールを使えば、露出したデバイスを容易に特定できてしまいます。
SBOMとソフトウェアインベントリがIoTセキュリティを向上させる理由
Pesce氏は、今回の問題の原因を悪意ある開発慣行というよりも、サードパーティ製ソフトウェアコンポーネントに対する可視性の乏しさにあるとみています。
同氏は、組織は特定できないソフトウェアを効果的に監視したりパッチを適用したりすることはできないと述べ、ソフトウェア部品表（SBOM）を基盤的なセキュリティ要件と位置づけています。
ただし同氏は、組織がコンポーネントを既知の脆弱性と継続的に照合し、悪用可能性や到達可能性に基づいて修復の優先順位を付けない限り、SBOMの価値はほとんどないと注意を促しています。
同氏は、メーカーがソフトウェアサプライチェーンのセキュリティを強化するために、SBOMをビルド成果物として扱うこと、開発過程でサポートされていないサードパーティ製コンポーネントを排除すること、最新のバイナリ保護機能を有効化すること、最小権限の原則を徹底することを推奨しています。
また、協調的な脆弱性開示プログラムを維持し、共有プラットフォーム上に構築されたすべてのブランド製デバイスにセキュリティアップデートが確実に行き渡るようにすることも助言しています。
これらの取り組みを組み合わせることで、古く脆弱なソフトウェアが製品版デバイスに残り続けるリスクを低減できます。
ソフトウェアサプライチェーンリスクからIoTデバイスを守る方法
インターネットに接続されたカメラやその他のIoTデバイスを導入する組織に対し、研究者らは基盤となるファームウェアへの可視性が限られていることを前提に、それに応じたネットワーク設計を行うよう推奨しています。
- IoTデバイスを専用のネットワークセグメントに隔離する
- 不要な受信アクセスをブロックし、カメラを直接インターネットに露出させない
- デフォルトの認証情報を変更し、ファームウェアアップデートが適用されていることを確認する
- 接続デバイスのインベントリを作成し、調達段階でベンダーにSBOMの提供を求める
- 既知の脆弱性の数を単純に数えるのではなく、悪用可能性やコンポーネントの到達可能性に基づいてリスクの優先順位を付ける
Pesce氏は、より広範な教訓は1つのカメラ機種にとどまらないと述べています。
現代の接続デバイスの多くは、数多くのサードパーティ製コンポーネントを組み合わせて構築されたソフトウェアで構成されており、その多くは複数のベンダー間で共有されている場合があります。
継続的なソフトウェアインベントリ管理、脆弱性監視、そしてサプライチェーンの可視性がなければ、数十年前の脆弱性が今後も新たにリリースされる製品に紛れ込み続ける可能性があります。
