Bluetooth対応機器を使用しているなら、Bluetooth接続を有効にしておくべきか検討してください。ノートパソコン、スマートフォン、あるいは「モノのインターネット（Internet of Things、IoT）」など機器端末の種類に関わらず、マルウェアによる遠隔操作で乗っ取られる恐れがあります。そして、この攻撃にはユーザ自身の操作を必要としません。
■「BlueBorne」とは何か
IoT のセキュリティ企業「Armis」は、2017年9月12日（米国時間）、Bluetooth の実装に関する複数の脆弱性をまとめて「BlueBorne」と名づけ、詳細を報告しました。この脆弱性は、Android、Linux、iOS、Windows などさまざまなオペレーティングシステム（OS）上の Bluetooth に影響を及ぼします。脆弱性が利用されると、攻撃者は遠隔操作で機器を乗っ取ることが可能になります。また、感染機器から別の Bluetooth機器へと感染させることができます。攻撃者は BlueBorne を利用することによって、不正コードの実行、情報収集、「Man-In-The-Middle（MitM、中間者）攻撃」が可能になります。
BlueBorne とは、以下の複数の脆弱性の総称です。
- CVE-2017-1000251：Linuxカーネルにおける、リモートコード実行の脆弱性
- CVE-2017-1000250：Linux の Bluetoothスタック「BlueZ」の情報漏えいの脆弱性
- CVE-2017-0785：Android の情報開示の脆弱性
- CVE-2017-0781：Android のリモートコード実行の脆弱性
- CVE-2017-0782：Android のリモートコード実行の脆弱性
- CVE-2017-0783：Android の中間者攻撃の脆弱性「Bluetooth Pineapple」
- CVE-2017-8628：Windows の中間者攻撃の脆弱性「Bluetooth Pineapple」
- CVE-2017-14315：Apple の Bluetooth Low-Energy Audio Protocol （LEAP）実装における、リモートコード実行の脆弱性
■どのように Bluetooth機器への攻撃が可能になるか
BlueBorne を確認したセキュリティリサーチャによると、53億台の Bluetooth機能を備える機器が影響を受けると推算されています。至る所で使用されている無線機能「Bluetooth」は、電子機器間でのマルチメディアコンテンツのストリーミング、データ送信、情報のブロードキャストのために82億以上の機器に搭載されています。
BlueBorne は、インターネットやケーブル接続を経由しないサイバー攻撃が可能であることを示しています。例えば攻撃者は、Bluetooth機器間のトラフィックを盗聴、傍受または転送してデータにアクセスすることができます。「攻撃者は、機器を精査してユーザが使用する OS を特定し、それに応じた攻撃を調整することができる」、と Armis は説明しています。攻撃者は関連するプラットフォームの Bluetoothプロトコルの実装における脆弱性を突き、自身の目的に必要なアクセス権を獲得します。
とはいえ、これらの脆弱性を利用した攻撃を実行するには、必要な条件があります。
- Bluetooth が有効になっていること
- Bluetooth機器が通信可能な範囲（通常は10メートル）内にあること
また、プラットフォームや OS ごとに攻撃手法が異なるため、すべての機器を対象とする単一の攻撃は実行されにくいといえます。
■被害に遭わないためには
脆弱性に対処するための更新プログラムがいくつか公開されています。Microsoft は、2017年9月のセキュリティ更新プログラムの公開において、CVE-2017-8628の更新プログラムをリリースしました。また、Google は、2017年9月のAndroid のセキュリティに関する公開情報で、CVE-2017-0781、CVE-2017-0782、CVE-2017-0783、およびCVE-2017-0785 について対処しています。Nexus と Pixel 以外の端末では、Android のアップデートは断片化しているため、ユーザは利用してる Android端末の製造元にてアップデートの対応状況を確認してください。
iOS については、2016年8月にリリースされた iOS 9.3.5およびそれ以前、また 12月にリリースされた AppleTV のバージョン7.2.2およびそれ以前は影響を受けますが、iOS 10搭載機器については CVE-2017-14315 の影響を受けません。Linux で特定された不具合の対処については現在進行中です。
更新プログラムを適用して OS を最新にすることによって、これらの脆弱性を利用する攻撃を緩和できます。ご利用の端末の修正状況を確認の上、速やかに更新プログラムを適用してください。企業内においても PC、スマートフォンに留まらず、IoTデバイスも視野に入れた管理方針を導入することが重要です。更新プログラムが未適用の間は、通常時 Bluetooth をオフにしておき、必要な時にのみオンにすることを推奨します。
参考記事：
翻訳：室賀 美和（Core Technology Marketing, TrendLabs）