編集部からのお知らせ
テレワーク関連記事一覧はこちら
新着PDF:RPA導入企業、その後

バルコ製ワイヤレスプレゼンシステムに脆弱性、エフセキュアが発表

バックドア経由でプレゼンターのPCから重要な企業情報の盗み出しが可能

エフセキュア株式会社

2019-12-17 10:30

エフセキュアは、多くのユーザを持つワイヤレスプレゼンテーションシステムに、悪用可能な複数の脆弱性を発見したと発表しました。攻撃者はこの欠陥を使用して、プレゼンテーション中に情報を傍受および操作し、使用されているPCからパスワードなどの重要な情報を盗み、バックドアやその他のマルウェアをインストールすることができます。
先進的サイバー・セキュリティ・テクノロジーのプロバイダであるF-Secure (本社: フィンランド・ヘルシンキ、CEO: Samu Konttinen、日本法人: 東京都港区、以下、エフセキュア) は、多くのユーザを持つワイヤレスプレゼンテーションシステムに、悪用可能な複数の脆弱性を発見したと発表しました。攻撃者はこの欠陥を使用して、プレゼンテーション中に情報を傍受および操作し、使用されているPCからパスワードなどの重要な情報を盗み、バックドアやその他のマルウェアをインストールすることができます。

ベルギーに本社を置くBarco社 (以下、バルコ) のClickShareワイヤレスプレゼンテーションシステムは、様々なデバイスからコンテンツを投影するためのコラボレーションツールです。同製品は日本を含む世界中で多くの企業に導入されており、リサーチ会社であるFutureSource Consultingの「グローバルワイヤレスプレゼンテーションソリューション2019」レポートによると、ワイヤレスプレゼンテーションシステム市場で29%のシェアを持つ製品です。*
*出典: (リンク »)

エフセキュアのコンサルティング部門であるF-Secure Consultingでハードウェアセキュリティを担当するシニアコンサルタントを務めるDmitry Janushkevich (ドミトリー・ヤヌシュケヴィッチ) は、ワイヤレスプレゼンテーションシステムの脆弱性について、次のように語っています。
「ワイヤレスプレゼンテーションシステムは実用的で使い勝手がよく、多くの企業ユーザに採用されています。しかし、シンプルな外見に反して内部は非常に複雑な構造を持っており、その複雑さがセキュリティ対策を難しくしているのです。人々は、多くのユーザを持つ製品を無条件に信頼する傾向があり、そのため、攻撃者にとって格好の標的となります。私たちのチームはそこに着目して調査をおこないました。」

Janushkevichのチームは数ヶ月間に渡りClickshareシステムを何度も調査し、悪用可能な複数の欠陥を発見しました。そのうち10個には共通脆弱性識別子 (CVE = Common Vulnerabilities and Exposures) があります。 さまざまな問題により、システムを介して共有される情報を傍受したり、システムを使用してユーザのコンピュータにバックドアやその他のマルウェアをインストールしたり、情報やパスワードを盗み取るなど、様々な攻撃が可能となっています。発見された脆弱性の一部を悪用するためには物理的なアクセスが必要ですが、システムがデフォルト設定を使用している場合は他の脆弱性をリモートで実行できます。さらに、Janushkevichによると、エクスプロイトの実行は、物理的なアクセスを持った熟練の攻撃者 (社員や出入りの業者になりすましていることが多い) によって迅速に行われ、デバイスを密かに侵害することができます。

Janushkevichは詳細について以下のように話しています。
「テストの主な目的は、システムにバックドアを仕掛け、プレゼンターを侵害し、提示されたとおりに情報を盗むことでした。境界線をクラックすることは困難でしたが、アクセスしてから複数の脆弱性を見つけることができました。システムについて詳しく調べると、それらの脆弱性を簡単に悪用することができました。攻撃者にとって、これはユーザ企業を危険にさらすための迅速かつ実用的な手法です。企業は、使用する製品/サービスの潜在リスクについて、もっと理解する必要があります。今回のケースは、スマートデバイスのセキュリティ保護の困難さを示しています。チップ、設計、そして組み込みソフトウェアのバグは、メーカーとユーザ両方に長期的な悪影響を及ぼし、製品に対する信頼を低下させる可能性があります。」

エフセキュアは2019年10月9日に調査結果をバルコに通知し、両社は情報の開示に向けて協力してきました。ヨーロッパ現地時間の12月16日、バルコはWebサイトで更新版のファームウェアを公開し、最も重大な脆弱性を緩和しました。ただし、発見された脆弱性の一部には物理的なメンテナンスが必要なハードウェアコンポーネントが関係しており、これらが修正されることはほとんどないと考えられます。

F-Secure Consultingは4大陸11ヶ国に拠点を構え、銀行、金融サービス、航空、海運、小売、保険、その他セキュリティがクリティカルとなる分野において、高度なサイバーセキュリティコンサルティングサービスを提供しています。


本プレスリリースページ
(リンク »)
Barco社製ワイヤレスプレゼンテーションシステムの脆弱性に関するアドバイザリー (英語)
(リンク »)
F-Secure Labs:
(リンク »)
F-Secure Consulting:
(リンク »)

このプレスリリースの付帯情報

用語解説

エフセキュアについて

エフセキュアほど現実世界のサイバー脅威についての知見を持つ企業は市場に存在しません。数百名にのぼる業界で最も優れたセキュリティコンサルタント、何百万台ものデバイスに搭載された数多くの受賞歴を誇るソフトウェア、進化し続ける革新的な人工知能、そして「検知と対応」。これらの橋渡しをするのがエフセキュアです。当社は、大手銀行機関、航空会社、そして世界中の多くのエンタープライズから、「世界で最も強力な脅威に打ち勝つ」という私たちのコミットメントに対する信頼を勝ち取っています。グローバルなトップクラスのチャネルパートナー、200社以上のサービスプロバイダーにより構成されるネットワークと共にエンタープライズクラスのサイバーセキュリティを提供すること、それがエフセキュアの使命です。
エフセキュアは本社をフィンランド・ヘルシンキに、日本法人であるエフセキュア株式会社を東京都港区に置いています。また、NASDAQ ヘルシンキに上場しています。詳細は (リンク ») (英語) および (リンク ») (日本語) をご覧ください。また、Twitter @FSECUREBLOG でも情報の配信をおこなっています。

本プレスリリースは発表元企業よりご投稿いただいた情報を掲載しております。
お問い合わせにつきましては発表元企業までお願いいたします。

【企業の皆様へ】企業情報を掲載・登録するには?

御社の企業情報・プレスリリース・イベント情報・製品情報などを登録するには、企業情報センターサービスへのお申し込みをいただく必要がございます。詳しくは以下のページをご覧ください。

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]