事例Use case

【Bitdefender海外ブログ】Geeniのセキュリティカメラやスマートドアホンに多数の脆弱性を発見

2021.3. 5

ツイート シェア 送る はてブ

smart-home-3653454_1920.jpg

Geeni製品から映像や音声の取得が可能に

セキュリティ研究者は、ウォルマートやアマゾンなど大手小売店で販売されているGeeniのスマートデバイス、スマートドアホンやセキュリティカメラで脆弱性を確認しました。

カメラをはじめとするスマートデバイスはセキュリティ侵害を受けた際のリスクが比較的高いことから、セキュリティ研究者たちから常に大きな注目を集めています。その価格の手頃さからよく利用されているため、多くのユーザーがあらゆる脆弱性を介して危険にさらされる可能性があります。

フロリダ州メルボルンにあるフロリダ工科大学の研究者たちは、Merkury社Geeni のスマートドアホンGNC-CW013、GNC-CW025、MI-CW024、カメラGNC-CW003、GNC-CW010、GNC-CW028、MI-CW017を対象に調査しました。その結果、攻撃者がデバイスへのアクセス権を取得すると、記録されたすべての音声と映像を視聴できることを発見しました。


★SECURIEなら
自宅のIoT機器のセキュリティ状態が一目でわかる!アプリで簡単診断!
【製品レビュー】自宅のスマート家電のセキュリティ状態が一目でわかる「SECURIE(セキュリエ) powered by Bitdefender」



Merkury社とMITREに報告するも3カ月以上未修正のまま

残念ながら、これらの多くの脆弱性はIoTデバイスにも見られます。つまり、どのメーカーも他社の失敗からあまり学んではいないのです。ある時には、静的な認証を持つリモートTelnet(テルネット)で脆弱性が発見されました。その他には、静的な認証情報を持つ文書化されていないアカウントも発見されています。

研究者たちは、2020年11月にMITRE(マイター)とベンダーにこれらの脆弱性を報告しましたが、メーカーの対応については何も発表されていません。規定の開示タイムライン(90日間)を待ちましたが、脆弱性はまだ修正されていないようです。

研究者たちは、Telnetアクセスを閉じる、RESTful APIを無効にする、apexisアカウントをリモートにする 、rstpdの命令をコーディングし直す、apxコンソールを使用してrtspdがTelnetセッションの配信を停止するなど、多くの問題を修正する方法についてのアドバイスをメーカーに行っているのですが、未修正のままなのです。

新しいカメラやスマートドアホンの購入を考えているのであれば、そのブランドの過去の出来事を調べ、脆弱性の報告があった際にメーカーが修正を試みたかを確認してください。一般的なデバイスの価格よりもはるかに安いデバイスは魅力的かもしれませんが、たいていその安さにはそれなりの理由が存在します。

翻訳元記事 Geeni Security Camera and Doorbell Product Riddled with Vulnerabilities, Researchers Find


SECURIEでスマート家電やIoT機器を保護

SECURIE (セキュリエ)powered by Bitdefenderはご家庭のWi-Fiネットワーク全体を保護する、ホームネットワークセキュリティです。パソコン、スマートフォン、タブレットだけでなく、インターネットに接続するテレビ、スマートスピーカー、ゲーム機、デジタルビデオレコーダーなどを含む、全てのネット接続機器をサイバー攻撃の危険から保護します。

1.Bitdefender Centralアプリ
Bitdefender BOXの設定・管理はBitdefender Centralアプリで行います。TOPのアクティビティ画面では、保護されたトラフィック量が1時間ごとに表示されます。

1.BitdefenderCentral_Top_new.png

2. デバイス検知・デバイス管理
家庭のネットワークに新しいデバイスが接続すると、BOXがそれを検知してBitdefender Centralアプリに通知します。管理者はそのデバイスの接続を許可するかどうか、またファミリー・ゲストに振り分けるなどのアクションを取ることができます。接続されているすべてのデバイスの保護状態を可視化し、一元管理できるので安心です。


2.デバイス一覧.PNG
3.脆弱性診断
指定したデバイスに対して、ネットワークセキュリティ上の欠陥がないか、スキャンを行うことができます。たとえばユーザー名・パスワードの組み合わせが弱いものになっている、ファームウェアのバージョンが古い、CVE脆弱性がある、などです。これらの脆弱性が見つかった場合、Centralアプリに通知が届き、対処方法などをユーザーに知らせてくれます。

4.脆弱性レポート.png