事例Use case

【Bitdefender海外ブログ】19のゼロデイ脆弱性が世界中の数百万のIoTデバイスに影響

2020.7.22

ツイート シェア 送る はてブ

network-782707_1280.png

個人経営から有名企業まで影響が及ぶ「Ripple20」

世界中の数百万のIoTデバイスに影響を及ぼす19のゼロデイ脆弱性が、イスラエルのサイバーセキュリティ企業JSOFの研究所によって明らかになりました。

研究者によると、「Ripple20」と呼ばれる脆弱性グループは、Treck Incが開発した、低レベルのTCP/IPライブラリに存在します。Treck Incによって普及が進み、医療・電力・通信・リテールを含む幅広い業界で使用されています。

「影響は個人経営のブティックから、HP、シュナイダーエレクトリック、インテル、 ロックウェル・オートメーション、キャタピラー、バクスターなどのFortune500に載るような国際的な企業にまで及ぶ。」とJSOFは述べています。

19の脆弱性のうち4つは深刻度「クリティカル(重大)」に分類されており、脆弱性の重大度を示すCVSSスコアは、10段階中9以上と評価されています。この重大な脆弱性が悪用された場合、攻撃者が遠隔で任意のコードを実行し、深刻な被害を及ぼす可能性があります。

研究者は、対象のデバイスをリモートで制御するなど、発生する可能性が高いシナリオを示しました。手慣れた攻撃者であれば、ネットワーク内のすべてのデバイスを同時に乗っ取り、数年間見つかることなく潜んでいることが可能だと考えられます。

「この状況のリスクは高い」と研究者は警告します。「ほんの数例を挙げただけでも、プリンターからデータが盗まれる、注入ポンプの動作が変更される、産業用制御装置が誤動作を起こす、という被害が考えられます。」

新型コロナウイルスの影響で対応がより困難に

サイバーセキュリティの専門家も、Treckに調査結果を報告しました。公式発表はTreckのウェブサイトに掲載されています。

「独立セキュリティ調査グループJSOFのMoshe Kol氏とShlomi Oberman氏が発表した、一連の脆弱性(VU#257161 and ICS-VU-035787)の修正パッチを適用するため、TreckのTCP/IPv4/v6の最新バージョンと関連するプロトコルを更新しました。」とTreckの担当者は述べています。「またTreckは、報告があった個別の問題についても修正パッチを提供しています。とても深刻な問題も含まれています。Treck製品の利用状況によっては、この深刻な問題がネット上にさらされることになります。」

加えてJSOFは、現在Treck製品の評価を行っている500を超えるデバイスメーカーや組織に連絡を取っています。

「COVID-19関連の影響で、参加したベンダーの調査に遅れが生じたため、結果の公表は2度延期されました。」「これらの企業の状況を考慮し、調査期間を90日から120日に延長しました。それでも参加した企業の中には、追加の要求をおこなったために、対応が難しくなっているところもあります。また脆弱性への修正パッチを適用するよりも、自社のブランドイメージが崩れることを懸念しているように見受けられます。」と研究者は述べています。

改善策は、デバイスベンダーやユーザーによって異なります。修正パッチが適用可能な場合、すべてのデバイスを最新バージョンに更新することが最初のステップです。脆弱なTreckのスタックを使用している組織は、リスク評価を実行し、脆弱性を修正する代わりに、「組み込まれているデバイスや、リスクが高いデバイスのネットワークへの露出を最小限に抑え、どうしても必要な場合を除いて、インターネットからデバイスへアクセスできないようにすることが重要です」。

ファイアウォールの配下にシステムネットワークとデバイスを分離しておくこと、業務ネットワークから切り離しておくこと、デバイスがクラウドサービスに接続するための仮想プライベートネットワークを使用することも推奨されています。

翻訳元記事 19 Zero-Day Vulnerabilities Affect Millions of IoT Devices Worldwide

SECURIEでスマート家電やIoT機器を保護

SECURIE powered by Bitdefenderは、スマート家電、PC、タブレット、スマートフォンなどをまとめて保護します。弱いパスワードなどのデバイスの脆弱性を自動的にスキャンする脆弱性診断や、普段の動きを把握し、異なる通信をした場合に検知する異常検知、攻撃の侵入検知など、ホームネットワークを侵入から防ぐ機能が搭載されています。さらに、高性能セキュリティソフトが台数無制限でご利用いただけますので、外出中でもモバイルデバイスを守ることができます。

SECURIE_200722.PNG