Bluetoothの脆弱性を利用しiOSやAndroid, Windows, Linuxデバイスを乗っ取り中間者攻撃などに利用する攻撃手法「BlueBorne」が公開される。

セキュリティ

2017.09.13

記事内に広告が含まれています。

　Bluetoothの脆弱性を利用しiOSやAndroid, Windows, Linuxデバイスに任意のコードを実行させたり中間者攻撃に利用する「BlueBorne」が公開されたそうです。詳細は以下から。

　アメリカ国土安全保障省のキュリティ機関であるUS-CERTは現地時間2017年09月12日、iOSやAndroid, Windows, Linux, その他IoTデバイスをBluetoothの脆弱性を利用して乗っ取ることの出来る「BlueBorne」という手法が発見されたとして、ユーザーに対し注意を呼びかけています。

General Overview
Armis Labs revealed a new attack vector endangering major mobile, desktop, and IoT operating systems, including Android, iOS, Windows, and Linux, and the devices using them. The new vector is dubbed “BlueBorne”, as it spread through the air (airborne) and attacks devices via Bluetooth. Armis has also disclosed eight related zero-day vulnerabilities, four of which are classified as critical.

BlueBorne Information from the Research Team – Armis Labs

Demo

　この脆弱性を発見したのは米セキュリティ企業Armis Labsで、BlueBorneはBluetoothに関する8つの脆弱性(ゼロデイ含む)を利用した攻撃手法の総称で、悪意のある攻撃者はデバイスに触れたり、Bluetoothでペアリングされていなくてもデバイスを乗っ取り任意のコードや中間者攻撃に利用する事が出来るそうで、

Armisは一例としてリモートからGoogle Pixelを乗っ取りカメラで写真を撮影&盗み出すデモや、乗っ取ったWindows PCを中間者攻撃に利用したりするデモ動画をYouTubeに公開しています。

　この攻撃手法はAppleが2017年3月に公開したiOS 10のセキュリティアップデートおよびGoogleが9月に公開したAndroidデバイス用パッチ、Microsoftが9月12日に公開したWindowsデバイス用パッチで修正されているそうですが、LinuxやNougatおよびMarshmallowより前の古いAndroidは影響を受けるそうなのでユーザーの方はBluetoothの扱いに注意して下さい。

A Coordinated Disclosure

Armis reached out to the following actors to ensure a safe, secure, and coordinated response to the vulnerabilities identified.

Google – Contacted on April 19, 2017, after which details were shared. Released public security update and security bulletin on September 4th, 2017. Coordinated disclosure on September 12th, 2017.
Microsoft – Contacted on April 19, 2017 after which details were shared. Updates were made on July 11. Public disclosure on September 12, 2017 as part of coordinated disclosure.
Apple – Contacted on August 9, 2017. Apple had no vulnerability in its current versions.
Samsung – Contact on three separate occasions in April, May, and June. No response was received back from any outreach.
Linux – Contacted August 15 and 17, 2017. On September 5, 2017, we connected and provided the necessary information to the the Linux kernel security team and to the Linux distributions security contact list and conversations followed from there. Targeting updates for on or about September 12, 2017 for coordinated disclosure.