CiscoのIPフォンに脆弱性、物理アクセスで盗聴につながる恐れ

研究者が行ったデモでは、電話機に物理的にアクセスして不正なコードを仕込み、受話器が置かれた状態で、受話器のマイクを有効にできることを実証した。

[鈴木聖子，ITmedia]

　米Cisco Systemsは1月9日、IPフォン「Cisco Unified IP Phones 7900シリーズ」の脆弱性について告知するセキュリティ情報を公開した。この脆弱性を突いて電話機に不正なコードを挿入し、盗聴に利用できてしまうことを実証するデモも行われている。

　同社のセキュリティ情報によれば、この脆弱性を悪用された場合、ローカルの攻撃者が任意のコードを実行したり、権限を昇格して電話機のメモリの任意のエリアを操作したりすることが可能になる。

　研究者が行ったデモでは、電話機に物理的にアクセスして、改ざんされたバイナリをシリアルポート経由で仕込み、これを使ってカーネルメモリの任意の領域を操作。受話器が置かれた状態で、受話器のマイクを有効にできることを実証したという。さらに、ネットワーク経由でリモートから悪用できる可能性も指摘されている。

　Ciscoはこの問題に対して段階的な対策を講じると表明。まず、既知の攻撃を回避するための「暫定的なEngineering Specialソフトウェアリリース」を、1月21日の週にリリースする。このリリースは、リクエストに応じてCisco Technical Assistance Center（TAC）から提供する。

　さらに、数カ月以内に7900シリーズのファームウェアの一部を改訂して根本的な原因に対処し、ネットワークと物理的なセキュリティの強化を図るとしている。