アイホン製インターホンシステムに複数の重大な脆弱性、OSコマンドインジェクションなどの深刻な問題が発覚

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
アイホン製インターホンシステムの脆弱性発見
アイホン製インターホンシステムの脆弱性まとめ
OSコマンドインジェクションについて
アイホン製インターホンシステムの脆弱性に関する考察
参考サイト

記事の要約

アイホン製インターホンシステムに複数の脆弱性
OSコマンドインジェクションなどの深刻な問題
ファームウェアアップデートによる対策が必要

アイホン製インターホンシステムの脆弱性発見

アイホン株式会社が提供するIPネットワーク対応インターホンIXシステム、IXGシステムおよびシステム支援ソフトに複数の重大な脆弱性が発見された。これらの脆弱性には、OSコマンドインジェクション（CVE-2024-31408）、認証情報の不十分な保護（CVE-2024-39290）、ハードコードされた暗号鍵の使用（CVE-2024-45837）、不適切なアクセス制御（CVE-2024-47142）が含まれている。この脆弱性情報はClaroty Research - Team82のVera Mensによって報告された。^[1]

CVSSスコアによると、最も深刻な脆弱性であるCVE-2024-31408の基本値は8.0（重要）と評価されている。この脆弱性は、攻撃元区分が隣接、攻撃条件の複雑さが低く、機密性、完全性、可用性のすべてに高い影響を与える可能性がある。他の脆弱性も警告レベルとされ、システムのセキュリティに重大な影響を及ぼす可能性がある。

影響を受けるシステムは多岐にわたり、IX-SupportTool、IXG-SupportTool、IX-BA、IX-BAU、IX-BB、IX-BBT、IX-BU、IX-DA、IX-DAU、IX-DB、IX-DBT、IX-DU、IX-DV、IX-DVF、IX-DVF-2RA、IX-DVF-L、IX-DVF-P、IX-DVF-RA、IX-DVM、IX-DVT、IX-EA、IX-EAT、IX-EAU、IX-FA、IX-MV、IX-MV7シリーズ、IX-RS-B、IX-RS-W、IX-SPMIC、IX-SS-2G、IX-SSA、IXG-2C7、IXG-DM7、IXG-MK、IXGW-GW、IXGW-LC、IXGW-TGWなど、多くの製品が対象となっている。各製品のファームウェアバージョンによって、影響を受ける脆弱性が異なるため、詳細な確認が必要だ。

アイホン製インターホンシステムの脆弱性まとめ

	CVE-2024-31408	CVE-2024-39290	CVE-2024-45837	CVE-2024-47142
脆弱性の種類	OSコマンドインジェクション	認証情報の不十分な保護	ハードコードされた暗号鍵の使用	不適切なアクセス制御
CVSSスコア	8.0 (重要)	6.5 (警告)	5.4 (警告)	5.5 (警告)
攻撃元区分	隣接	隣接	隣接	隣接
攻撃条件の複雑さ	低	低	低	低
影響	機密性・完全性・可用性に高い影響	機密性に高い影響	機密性・完全性に低い影響	機密性・完全性・可用性に低い影響

OSコマンドインジェクションについて

OSコマンドインジェクションとは、攻撃者が悪意のあるOSコマンドを実行するために、アプリケーションの入力を操作する脆弱性のことを指す。主な特徴として以下のような点が挙げられる。

ユーザー入力が適切にサニタイズされていない場合に発生
攻撃者がシステムレベルの権限で任意のコマンドを実行可能
データの漏洩、改ざん、システムの破壊などの深刻な被害をもたらす可能性がある

アイホン製インターホンシステムの場合、CVE-2024-31408として識別されるOSコマンドインジェクションの脆弱性が報告されている。この脆弱性は、CVSSスコア8.0と評価され、攻撃元区分が隣接、攻撃条件の複雑さが低いため、特に注意が必要だ。攻撃者がこの脆弱性を悪用すると、root権限で任意のOSコマンドを実行される可能性があり、システムの完全な制御権を奪取される危険性がある。

アイホン製インターホンシステムの脆弱性に関する考察

アイホン製インターホンシステムの脆弱性発見は、IoT機器のセキュリティ強化の重要性を改めて浮き彫りにした。特にOSコマンドインジェクションの脆弱性は、攻撃者にシステムの完全な制御権を与える可能性があり、個人情報の漏洩やシステムの不正操作など、深刻な被害をもたらす恐れがある。この問題は、インターホンシステムが建物のセキュリティに直結することを考えると、より一層深刻だと言えるだろう。

今後、IoT機器のセキュリティ設計においては、入力値の厳密なバリデーションや最小権限の原則の徹底など、基本的なセキュリティ対策の重要性が増すと予想される。また、暗号鍵のハードコーディングや不適切なアクセス制御といった問題も、開発段階からのセキュリティ・バイ・デザインの採用によって防ぐことができるだろう。製品のライフサイクル全体を通じたセキュリティ管理の重要性が、今回の事例から明確に示されたと言える。

今後は、IoT機器メーカーによるセキュリティ専門家との連携強化や、第三者によるセキュリティ監査の定期的な実施が求められるだろう。また、ユーザー側でも、ファームウェアの定期的なアップデートや、不要な機能の無効化など、積極的なセキュリティ対策が必要になる。インターホンシステムのような生活に密着したIoT機器のセキュリティ向上は、今後のスマートホーム時代における重要な課題となるはずだ。