ClickShareの脆弱性にはパッチが適用されているかもしれないが、はるかに大きな問題を覆い隠している

この記事のバージョンが掲載されました DevOps.com。こちらでシンジケーション用に更新されており、脆弱性の課題へのインタラクティブなリンクも含まれています。

最近の記憶では、会議やカンファレンスで、誰かがプレゼンテーションテクノロジーに問題を抱えたことを覚えていると思います。このようなことは非常に頻繁に起こるため、少なくとも最初は、不格好な体験が期待されがちです。したがって、ClickShare のシームレスアプリがすぐにエンドユーザーに人気を博したのは当然のことです。彼らにとって、ClickShareアプリケーションを使用して、ノートパソコン、タブレット、またはスマートフォンから大画面や会議室のプロジェクターにプレゼンテーションをプッシュすることほど簡単なことはありません。ベルギーに拠点を置くデジタル・プロジェクションおよびイメージング・テクノロジーのサプライヤーであるBarcoは、そのように機能するようにオートメーション・プラットフォームを設計し、大企業もこのコンセプトを採用しました。フューチャー・リソース・コンサルティングは バルコのマーケットシェア カンファレンステクノロジーが 29% で、フォーチュン1,000企業全体の40％に統合されています。

エフセキュアの研究者がいるとき 12月に発表 一見無害に見える自動化プラットフォームにはセキュリティの脆弱性がたくさんあり、ビジネス界に衝撃を与えました。明らかになったセキュリティ上の欠陥は本質的に重大なものであり、さまざまな悪質な活動を可能にするおそれがあります。

研究者が実証した この脆弱性により、リモートユーザーがアクティブなプレゼンテーションを覗き見したり、安全なネットワークへのバックドアを作成したり、Barcoデバイスに接続しているすべてのユーザーに感染するスパイウェア配布サーバーを設定したりできる可能性があります。突然、企業は組織全体の会議室やオフィス内に直接設置されるという深刻なセキュリティ問題に直面しました。また、脆弱性の性質上、1 台のデバイスが侵害されただけで、ネットワーク全体の侵害につながる可能性がありました。

エフセキュアの関係者は報告書の中で、「攻撃者が1つのユニットへの侵入に成功すると、1つのユニット内でも家族間でも、どのユニットでも有効な暗号化画像を生成できるだけでなく、復号化も可能になる」と書いている。「さらに、このような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスする可能性があります。」

Barcoの功績は、自社製品で見つかった脆弱性に対するパッチと修正を非常に積極的に発行してきたことです。セキュリティベンダー Tenable 最近リリースされた Barco を含む 8 つのプレゼンテーションツールの 15 件の脆弱性を示すレポート2 月の時点で、修正の導入に積極的に取り組んでいるのは Barco だけです。

Barcoの脆弱性の中にはハードウェアの変更が必要なものもありますが（企業がこの程度のセキュリティ対策を講じれば、導入は悪夢のようなものになります）、その多くはソフトウェアパッチで修正できます。これにより、ほとんどの企業ユーザーは、差し迫った問題を解決するための一見良い計画を立てることができますが、現在ではほとんど明らかになっていません。Barco の問題は、有名なハードウェアやソフトウェア製品の脆弱性への対処に関して言えば、氷山の一角にすぎません。

問題の根源

差し迫った問題が解決された今、深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室にどうして設置されたのか、そもそもなぜそれらのデバイスが設計やプログラミングがそれほど不十分だったのかを尋ねる必要があります。エフセキュアのチームがゼロデイ脆弱性やこれまで知られていなかった脆弱性を発見していたわけではありません。Barco 製品で発見された欠陥のうち 10 件は、よく知られた問題に関連するものでした。 一般的な脆弱性 コードインジェクション攻撃のように。ほとんどの場合、すでに一般的な脆弱性と暴露 (CVE) の識別が行われています。

では、数十年前のCVEはどのようにして現代のプレゼンテーションツールにコーディングされたり、組み込まれたりしたのでしょうか。考えられる唯一の答えは、開発者がそれらについて知らなかったか、Barco デバイスの設計時にセキュリティが優先されなかったということです。悲しいことに、これはよくある状況であり、Barco チームに限ったことではありません。

脆弱性を修正する最適なタイミングは、アプリケーションの開発中、つまりユーザーに送信されるずっと前です。最悪の (そして最も費用がかかる) のは、製品がデプロイされてから、または攻撃者に悪用された後です。これは難しい教訓になる可能性があり、Barco は、かつては侵入できなかった市場シェアがこのセキュリティ上の大失敗に続いて打撃を受けるため、この教訓を必ず学ぶでしょう。

セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。このような環境では、セキュリティは組織のベストプラクティスにならなければなりません。企業がソーシャルメディア向けのアプリをプログラミングしているのか、スマートトースターを製造しているのかは関係ありません。組織のあらゆる面でセキュリティを考慮する必要があります。

DevSecOpsムーブメントの目標は、セキュリティのベストプラクティスを優先し、それを共通の責任とすることです。DevSecOpsムーブメントでは、開発、セキュリティ、運用の各チームが協力して、安全なソフトウェアと製品をコーディングしてデプロイします。そのためには、他のことと同じくらい、文化を変える必要があります。セキュリティ上の脆弱性がある実用的な製品を導入することは、本来の機能を果たせない製品を作ることと同じくらい、失敗に終わる、という考え方が必要です。

健全なDevSecOps環境では、ソフトウェアに触れる人は誰でもセキュリティを意識し、開発者は作業に悲惨なバグが入り込まないように適切なトレーニングを頻繁に受ける必要があります。Barco で働くチームがセキュリティを共通の責任と見なしていたら、数十年前の CVE を含むこのような大量の脆弱性がプレゼンテーションツールに組み込まれることはあり得ませんでした。

安全な進路

Barcoのデバイスを通じて世界中の何千もの企業ネットワークに既知のセキュリティ欠陥が展開された理由を説明しなければならないので、誰も次のBarcoになりたいとは思っていません。このような事態を避けるため、ソフトウェアやスマート・ハードウェアを開発している企業は、責任の共有と組織のベスト・プラクティスの両方として、直ちにセキュリティを優先すべきです。健全な DevSecOps プログラムの構築には時間がかかり、文化の変化も必要になる可能性もありますが、その成果は努力するだけの価値があります。堅牢な DevSecOps は、問題が発生するずっと前に脆弱性を打ち砕くことができます。

製品やソフトウェアを購入する企業にとって、DevSecOpsを採用している企業をサポートすることが最大の利益になります。そうすることで、そこから入手したデバイスやソフトウェアが、ますます熟練した攻撃者に悪用されるのを待っている時限爆弾にならないようにするのに大いに役立ちます。

をチェックしてください セキュア・コード・ウォリアー ブログページでは、DevSecOpsに関する詳細な情報や、セキュリティ上の欠陥や脆弱性による被害から組織や顧客を保護する方法を紹介しています。

Barco が経験したセキュリティバグを詳しく調べてみませんか?

これらのゲーム化されたチャレンジを次のデバイスでプレイしてください。

• C 言語の OS コマンドインジェクション
• C 言語でのリモートコードインジェクション
• C 言語でのバッファオーバーフロー
• C 言語でのリモートファイルアップロード
• 認証情報は C にプレーンテキストで保存されています。