Photo By Shutterstock
伊藤僑
Free-lance Writer / Editor
IT、ビジネス、ライフスタイル、ガジェット関連を中心に執筆。現代用語辞典imidasでは2000年版より情報セキュリティを担当する。SE/30からのMacユーザー。著書に「ビジネスマンの今さら聞けないネットセキュリティ〜パソコンで失敗しないための39の鉄則〜」（ダイヤモンド社）などがある。
Kr00kの影響を受けるデバイスは10億台以上！
サイバーセキュリティ分野におけるグローバル企業の1つとして知られるESET（イーセット）社は、2月26日、多くのスマートフォンやPC、ネットワーク機器が採用しているWi-Fiチップに、ネットワーク利用の安全性を脅かす脆弱性があることを発表した。攻撃者がこの脆弱性を利用すると、伝送するデータの暗号を解読される危険性があるという。
ESETが公表したKr00kを悪用した攻撃の概念図。対策を施したアップデートを行わないままでいると、やり取りするデータの中身を不正に解読されてしまう可能性がある
「Kr00k（CVE-2019-15126）」と名付けられたこの脆弱性は、多くのクライアントデバイスが採用するBroadcomおよびCypressのWi-Fiチップに存在。脆弱性を解消するためのパッチの適用が必要となるデバイスの総数は、実に10億を超えているとみられる。
同社によれば、著名な製品としては、Amazon（Echo、Kindle）、Apple（iPhone、iPad、MacBook）、Google（Nexus）、Samsung（Galaxy）などが含まれており、アクセスポイントやルーターにも対策が必要なものがあるようだ。
対象デバイスは早急に脆弱性対策パッチの適用を
ESETは、チップメーカーであるBroadcom、Cypressやデバイスメーカーに脆弱性を開示しており、すでにパッチのリリースは始まっている。主要製品の修正版リリースには例えば下記のようなものがある。
undefined
undefined
iOS 13.2/iPad OS 13.2（2019年10月28日）
Kr00kを狙った攻撃を防ぐためには、対象となるすべてのWi-Fi対応デバイスを、最新のオペレーティングシステム、ソフトウェア、ファームウェアバージョンに更新したことを確認しよう。クライアントデバイスだけでなく、アクセスポイントやルーターなどネットワーク機器についても各メーカーに確認したい。
Bluetoothにも複数の脆弱性が
Bluetoothの脆弱性というと、昨年夏に発覚した「KNOB Attac」が、iPhone、Mac、Windows10などが対象となっていることから、影響が大きいと思われる。
この脆弱性は、デバイス間の接続を行う際に用いる暗号鍵の長さを攻撃者側で短く設定できるというもの。攻撃者は鍵の長さを1バイトにした上で総当たり攻撃をかけることができるので、通信内容を傍受される恐れがあるというのだ。
こちらもすでに、Apple（iOS 12.4、MacOS Mojave 10.14.6）、Microsoft（2019年8月の定期アップデート）によって脆弱性の修正が行われているので、未対応の方は速やかに適応したい。
参考 : 「Bluetooth BR/EDRでの暗号鍵エントロピーのネゴシエーションにおける問題」（JPCERT/CC）
参考 : 「Key Negotiation of Bluetooth」（Bluetooth SIG）
また、WIREDによれば、シンガポール工科デザイン大学（SUTD）の研究チームが、Bluetoothの省エネ版であるBluetooth Low Energy（BLE）における実装レベルでの脆弱性12個を発見し「SweynTooth」と命名したという。
同研究チームによれば、SweynToothによって医療機器を含むスマートデバイスが危険にさらされる可能性があるようだ。
これら12個のバグは、大手ベンダー7社のSoC（System-On-a-Chip）のソフトウェア開発キットに含まれていることから、家庭用・業務用スマート機器のほか、ペースメーカーなどの医療機器にも影響が懸念されている。
すでに一部の製造元では修正プログラムを配布を実施しているが、SoCを用いたデバイスメーカーがそれぞれの修正プログラムを自社製品用に適用させて配布する必要があるため、最終的な問題解決にはしばらく時間がかかりそうだ。
スマートフォンやIoT機器など、ネットワークの利用が当たり前となった現在、ネットワークに潜む危険の検出・解消は、これまで以上に重要性を増している。ユーザー一人ひとりも、より一層脆弱性対策に注意したいものだ。