ClickShareの脆弱性は修正されても、より大きな問題が潜んでいる

本記事は DevOps.com に掲載された記事の転載です。本サイト向けに更新されており、脆弱性チャレンジへのインタラクティブなリンクが含まれています。

会議やカンファレンスで、プレゼンテーション機器のトラブルに遭遇した経験は誰にでもあるのではないでしょうか。最初は操作に手間取るのが当たり前、という認識すらあるほど頻繁に起こることです。そのため、ClickShareのシームレスなアプリがエンドユーザーの間で即座に人気を博したことは驚くべきことではありません。ユーザーにとって、ClickShareアプリケーションを使ってノートPC、タブレット、スマートフォンから大型スクリーンや会議室のプロジェクターにプレゼン画面を映し出すことほど簡単なことはありません。ベルギーのデジタルプロジェクションおよび映像技術サプライヤーであるBarco社は、自社の自動化プラットフォームをそのように機能するよう設計し、大企業はそのコンセプトを受け入れました。FutureSource Consultingによると、Barcoの会議技術における市場シェアは29%に達し、フォーチュン1000企業の40%に導入されています。

F-Secureの研究者が12月に明らかにしたところによると、この一見無害な自動化プラットフォームにはセキュリティ上の脆弱性が蔓延しており、ビジネス界に衝撃が走りました。発見されたセキュリティ上の欠陥は本質的に重大なものであり、あらゆる種類の悪意ある活動を可能にする恐れがあります。

研究者たちは、これらの脆弱性を悪用することで、リモートユーザーがアクティブなプレゼンテーションを盗み見たり、セキュアなネットワークへのバックドアを作成したり、さらにはBarcoデバイスに接続するすべてのユーザーを感染させるスパイウェア配布サーバーを構築したりする方法を実証しました。突然、企業は自社の会議室やオフィスに深刻なセキュリティ上の問題を直接抱え込むという事態に直面したのです。また、脆弱性の性質上、たった1台の侵害されたデバイスがネットワーク全体への侵入を許す可能性がありました。

「1台のユニットを侵害することに成功した攻撃者は、同一製品群内か否かを問わず、あらゆるユニットの暗号化画像を復号し、また有効な暗号化画像を生成する能力を得る」と、F-Secureの担当者は報告書に記しています。「さらに、そのような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスできる可能性があります。」

評価すべき点として、Barcoは自社製品に見つかった脆弱性に対して、パッチや修正プログラムの提供に非常に積極的に取り組んできました。セキュリティベンダーのTenableは最近発表した報告書の中で、Barcoを含む8つのプレゼンテーションツール全体で15の脆弱性を指摘しています。2月時点で、修正プログラムを展開しているのはBarcoのみです。

Barcoの脆弱性の中にはハードウェアの変更を必要とするものもあり（企業がセキュリティ対策としてここまで踏み込む場合、その展開は悪夢のような作業になるでしょう）、その多くはソフトウェアパッチで修正可能です。これはほとんどの企業ユーザーにとって、当面の問題を解決するための有効な計画に見えますが、これで完全に安心というわけではありません。Barcoの問題は、有名なハードウェアやソフトウェア製品に潜む脆弱性に対処する上での氷山の一角に過ぎないのです。

問題の根源

差し迫った問題が解決した今、私たちは、なぜ深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室に設置されることになったのか、あるいは、なぜそれらが最初からこれほどまでに設計やプログラミングが不十分だったのかを問う必要があります。F-Secureチームがゼロデイ脆弱性や未知の脆弱性を発見したわけではありません。Barco製品で発見された欠陥のうち10個は、コードインジェクション攻撃のような、よく知られた一般的な脆弱性に関連するものでした。そのほとんどには、すでに共通脆弱性識別子（CVE）が割り当てられていました。

では、なぜ何十年も前のCVEが、現代のプレゼンテーションツールにコーディングされ、あるいはハードウェアに組み込まれてしまったのでしょうか。唯一考えられる答えは、開発者がそれらを知らなかったか、あるいはBarcoデバイスの設計時にセキュリティが優先事項とされていなかったかのどちらかです。悲しいことに、これはよくある状況であり、決してBarcoチームに限ったことではありません。

脆弱性を修正するのに最適なタイミングは、アプリケーションの開発中であり、ユーザーの手に渡るずっと前です。最悪（かつ最もコストがかかる）のタイミングは、製品が展開された後、あるいは攻撃者に悪用された後です。これは厳しい教訓であり、かつては盤石だった市場シェアが今回のセキュリティ不祥事によって打撃を受ける中、Barcoも間違いなくそれを学ぶことになるでしょう。

セキュリティ修正を開発プロセスの上流へとシフトさせることは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑であり、かつあらゆるものとネットワークでつながっている現代において、それは不可欠な取り組みです。このような環境下では、セキュリティは組織のベストプラクティスとならなければなりません。ソーシャルメディア向けのアプリをプログラミングしているか、スマートトースターを製造しているかにかかわらず、組織のあらゆる側面でセキュリティを考慮する必要があります。

セキュリティのベストプラクティスを優先し、それを共通の責任とすることはDevSecOps運動の目標であり、開発、セキュリティ、運用の各チームが協力してセキュアなソフトウェアや製品をコーディングし、展開することを目指します。これには、何よりも文化の変革が必要です。セキュリティ上の脆弱性を抱えたまま製品をリリースすることは、本来の機能を果たせない製品を作ることと同等の失敗である、という新しい考え方が必要です。

健全なDevSecOps環境では、ソフトウェアに触れるすべての人がセキュリティを意識すべきであり、開発者は自身の作業に壊滅的なバグを混入させないよう、関連性の高いトレーニングを頻繁に受ける必要があります。もしBarcoの開発チームがセキュリティを共通の責任と捉えていたなら、何十年も前のCVEを含むこれほど多くの脆弱性がプレゼンテーションツールに紛れ込むことはなかったはずです。

安全な前進の道

誰も次のBarcoにはなりたくないはずです。世界中の何千もの企業ネットワークに、自社デバイスを通じて既知のセキュリティ欠陥を広めてしまった理由を説明しなければならない事態は避けたいものです。そのような運命を避けるため、ソフトウェアやスマートハードウェアを開発する企業は、セキュリティを共通の責任かつ組織のベストプラクティスとして直ちに優先すべきです。健全なDevSecOpsプログラムの構築には時間がかかり、文化の変革も必要になるでしょうが、その結果は努力に見合う以上の価値をもたらします。堅牢なDevSecOpsは、脆弱性が問題を引き起こすずっと前にそれを潰すことができるのです。

製品やソフトウェアを購入する企業にとって、DevSecOpsを取り入れている企業を支援することは最善の利益となります。そうすることで、そこから入手するデバイスやソフトウェアが、スキルを高める攻撃者によって悪用されるのを待つ時限爆弾にならないようにするための大きな一歩となるでしょう。

DevSecOpsに関する詳細や、セキュリティ上の欠陥や脆弱性の脅威から組織と顧客を守る方法については、Secure Code Warriorのブログをご覧ください。

Barcoが経験したセキュリティバグの詳細について深く掘り下げてみませんか？

以下のゲーム形式のチャレンジに挑戦しましょう：

• C言語におけるOSコマンドインジェクション
• C言語におけるリモートコードインジェクション
• C言語におけるバッファオーバーフロー
• C言語におけるリモートファイルアップロード
• C言語における平文での認証情報保存