攻撃の橋渡しになり得るオーディオ周辺機器
セキュリティ研究者のRasmus Mooratsは、CreativeのSound Blaster Katana V2Xに目を見張る脆弱性を見つけた。近くのBluetoothデバイスが、スピーカーがPC、Mac、LinuxマシンにUSBで接続されている間でも通信でき、その際に認証や事前のペアリングは不要だった。
この挙動が重要なのは、無線インターフェースと直接接続されたコンピューターの間に予期しない橋を作ってしまうからだ。OSは通常、リモートデバイスがホストに危険なコマンドを送れないよう懸命に防御している。このケースでは、スピーカーがそれらの保護を損なう代理役になり得た。
研究者が見つけたこと
Ars Technicaの報道によると、Mooratsはスピーカー独自のCreative Transport Protocol、つまりCTPを調査していた。このプロトコルでは、接続されたデバイスがLEDやイコライザーの変更といった通常機能のコマンドを送信し、スピーカーから応答を受け取ることができた。しかし一つのコマンドが際立っていた。新しいファームウェアをアップロードするオプションである。
報道によれば、このファームウェア経路には、公式ソフトウェアのみがインストールされることを保証するコード署名や同等の制御が欠けていた。Mooratsは、スピーカーのファームウェアをカスタムイメージに置き換えられることを実証した。その後、FreeRTOSベースのソフトウェアスタックを調べ、スピーカーが限定的にキーボードや関連するUSBアクセサリのように振る舞えるヒューマンインターフェースデバイス機能を見つけた。
危険な意味合いは明快だ。攻撃者がBluetoothの到達範囲に入り、ペアリングなしで接続し、改変されたファームウェアをインストールできれば、スピーカーはUSB経由でホストPCに悪意あるHID入力を送るよう改変される可能性がある。
なぜこれは深刻な設計上の問題なのか
多くのユーザーは、スピーカーやサウンドバーを低リスクの周辺機器だと考えている。通常、それらが信頼境界を越えてコンピューターへのコード実行経路をもたらし得るデバイスだとは見なされない。この事例は、その前提が古くなっていることを示している。
この弱点は、単なるコンパニオンアプリのバグや限定的な設定ミスではない。認証なしのBluetoothアクセス、強力な整合性検証なしのファームウェア書き換え、HID機能を持つUSB接続デバイスという、許容的な設計判断の連鎖だ。各要素が次の要素のリスクを増幅している。
このスピーカーはWindows、macOS、Linuxの各システムに接続できるため、リスクは一つのプラットフォーム系列に限定されない。露出は特定のOSではなく、周辺機器そのものに付随する。
ベンダーの対応と広い教訓
Arsによれば、販売元はこの挙動を脆弱性とは見なしていないという。その立場には注目が集まるだろう。というのも、問題は接続された周辺機器への信頼の核心に関わるからだ。認証されていない近距離無線コマンドを受け入れたうえでUSBホストに影響を与えられるデバイスを、無害だと片付けるのは難しい。
この出来事はまた、現代のハードウェア製品が実質的には仮面をかぶったソフトウェアプラットフォームであることを思い出させる。サウンドバー、ウェブカメラ、キーボード、ドックはますますOSを搭載し、内部サービスを公開し、複数の接続方式を橋渡ししている。この複雑さは、利用者が気づかないままの新しい攻撃面を生み出す。
防御側にとっての主な教訓は明快だ。周辺機器のセキュリティは、かつてルーターやスマートフォンに向けていたのと同じ懐疑心を払う価値がある。高評価の民生アクセサリでも、ファームウェアと通信経路が固められていなければ侵入口になり得る。Katana V2Xの事例で最も意外なのは、研究者が欠陥を見つけたことではない。スピーカーをリモートの足がかりにするのに、必要なやり取りが驚くほど少なかったことだ。
この記事はArs Technicaの報道に基づいています。元記事を読む。
Originally published on arstechnica.com
