9月12日に米国のセキュリティ企業ArmisがBluetoothに関する脆弱性「BlueBorne」を公開しました。Bluetoothはキーボードやマウス、ヘッドフォンなどと、PCやスマートフォンを無線接続するために広く使われています。Bluetooth設定をオンにしていると、攻撃者に近寄られるだけで機器が乗っ取られてしまう脆弱性だということです。
特設サイトや乗っ取りのデモ動画など準備万端で公開された「BlueBorne」は、1つの脆弱性ではなく幾つかの脆弱性の総称でした(Armisの発表資料)。
発表によれはAndroidの他、Windows、Linux、iOS、Apple TVのtvOSにも影響があるということで、82億台ものデバイスが影響を受けるということです。既に機器を乗っ取るPoC(Proof of Concept)も出回っているため、Bluetoothをオンにして歩き回っているだけで、悪意を持った人物が知らないうちに端末を乗っ取ってしまう危険性があるということです。Armisは脆弱性があるかどうか簡単にチェックできるツールを公開しています。心配な方はチェックしてみるといいでしょう。
Bluetoothを使用しているデバイス全体に関わる問題とはいえ、特に騒ぎになっているのはAndroidユーザーかいわいです。WindowsやLinux、macOS、iOSでは既に脆弱性に対応したアップデートが行われており、知らないうちに自動アップデートされていることも多いでしょう。
Androidに関してもGoogleからアップデートは公開されています。しかし、Android端末には都合が悪いところがあります。端末を販売した事業者がすぐにアップデートを公開するとは限らないのです。現在でも脆弱性が残ったままになっている端末が多く、安全を確保するにはBluetoothを使用しない以外の選択肢がないようです。
容易にアップデートできないIoTや組み込み機器のことを心配するツイートも多く見られました。
この他にも9月のセキュリティクラスタは次のような話題で盛り上がっていました。10月はどのようなことが起きるのでしょうね。
山本洋介山(NTTコミュニケーションズ株式会社)
Webサイトの脆弱性を探す仕事の傍ら「twitterセキュリティネタまとめ」というブログを日々更新しているTwitterウォッチャー。たまにバグバウンティもしています。
Copyright © ITmedia, Inc. All Rights Reserved.