セキュリティ強化塾

全Bluetooth端末が狙われる？　脆弱性「BlueBorne」対策（1/3 ページ）

2017年9月に発見されたBluetoothの脆弱（ぜいじゃく）性は53億ものデバイスが対象になるという。どのように対応すべきか。

　2017年9月、IoTセキュリティに関わるベンダーのArmis Labsが、複数の機器におけるBluetoothの脆弱（ぜいじゃく）性を発表した。機器の乗っ取りが可能なものを含む、緊急度が高いものだ。Bluetooth経由という“想定外”の攻撃に対し、企業はどのような対策に取り組むべきか。

53億ものデバイスが対象となる「BlueBorne」

　これまで多くのサイバー攻撃は、ネットワーク（インターネット）経由で行われてきた。そのため、企業はファイアウォールやIPS、IDS、UTMなどのネットワークの境界を守るセキュリティ機器を導入した。だが、今回、セキュリティベンダーのArmis Labsが発表し、「BlueBorne」と名付けられた脆弱性は無線、しかも多くの機器で搭載されているBluetoothを悪用して攻撃が成立する。これは、多くの企業で想定外の攻撃ルートだったのではなかろうか。

　同社では、この攻撃による想定被害を動画で伝えている。英語ではあるが、イラストを使って分かりやすく解説しているので、チェックしてほしい。

　この動画によれば、主にAndroid、iOS、Windows、Linuxといった主要OSを搭載した約53億台ものデバイスに影響が出る。Androidは2017年9月のセキュリティパッチが未適用のもの、iOSは「iOS 9.3.5」以前のもの（iOS 10は対策済み）、Windowsは2017年9月のマイクロソフトセキュリティ更新プログラムを未適用のWindows Vista以降のもの、LinuxはKernel 3.3-rc1以降のものおよびBlueZの全バージョンと多岐にわたる。

　JPCERT コーディネーションセンター（JPCERT/CC）や脆弱性対策情報ポータルサイト「JVN」でも注意喚起が行われている。

%リスト

• Bluetooth の実装における脆弱性 "BlueBorne" に関する注意喚起（JPCERT/CC）
• JVNVU#95513538: 様々な Bluetooth 実装に複数の脆弱性

　本稿では、BlueBorneについて学ぶとともに、新たな脆弱性が発表された時にどのような対処をすべきかを考えてみる。