相互に接続された今日の社会において、ビデオ監視システムのセキュリティはかつてないほど重要になっています。資産や個人を監視し保護するこれらのシステムは、潜在的なサイバー攻撃に対して強固でなければなりません。ビデオ監視のセキュリティを確保するには、不正アクセスやデータ漏洩、その他の脆弱性から保護し、監視映像の完全性と機密性を確保する必要があります。
Nozomi Networks Labsは、JCI (Johnson Controls International) の exacqVision Web サービスアプリケーションに影響する 6つの脆弱性を発見し、責任を持って公表しました。JCI との協力により、特定されたすべての問題が解決されました。このパートナーシップは、サイバーセキュリティの分野における協力の重要性を強調しています。タイムリーなコミュニケーションと共同の取り組みにより、リスクを大幅に軽減し、重要なインフラストラクチャを保護することができます。
このブログでは、特定されたセキュリティ脆弱性について詳細に説明し、その影響について考察し、推奨される緩和策の概要を説明しています。 Nozomi Networks のお客様は、脅威インテリジェンスフィードで更新された保護機能を見つけることができ、これらの脅威に効果的に対処できます。 脆弱な対象の包括的なリストについては、以下の "脆弱性リストと影響を受けるバージョン" のセクションを参照してください。
リサーチ範囲
2015年の Tyco の買収により、JCI は Exacq 部門を通じてビデオ監視ソリューションの有力なプロバイダーとなっています。同社の exacqVision VMS (ビデオ管理システム) で知られる JCI の製品には、高度な NVR (ネットワークビデオレコーダー)、多機能なビデオ管理ソフトウェア、最先端の分析機能が含まれています。これらの製品は、数千のカメラモデルや多数のアクセス制御システムとのシームレスな統合を可能にするように設計されており、さまざまな用途に包括的なセキュリティと運用効率を確保します。
exacqVision Web サービス (図1) は、オペレーターがビデオ監視システムを遠隔で監視および管理できるウェブユーザーインターフェースを提供するサービスです。このアプリケーションは、マルチベンダーのカメラからのビデオストリームをリアルタイムデータとして受信するように設定できる、exacqVision Server のフロントエンドとして機能する HTTP インターフェースで構成されています。
exacqVision Web サービスは、すべてのexacqVision A シリーズおよび Z シリーズシステムにあらかじめインストールされています。また、exacqVision ELX シリーズシステムにもインストールできます。一般的なウェブブラウザを使用して、図2 に示すように、複数のデバイスから Web インターフェースにアクセスすることができます。
これらの脆弱性の影響
exacqVision Web サービスの分析により、影響を最大限に高めるために組み合わせることができる 6つの脆弱性を特定しました。これらの問題を悪用することで、以下に挙げるような攻撃シナリオが実行される可能性があることを説明します。
- ビデオストリームのハイジャック攻撃者は、exacqVision Web サービスに接続された監視カメラからのビデオストリームを制御することができます。これにより、リアルタイムのビデオフィードを閲覧、操作、またはブロックすることが可能となり、監視業務の整合性と信頼性が損なわれます。このような攻撃は、犯罪行為を隠蔽したり、セキュリティ監視を妨害したり、機密の視覚データを盗み出したりするために使用される可能性があります。このシナリオについては、以下の "脆弱性に関する注目点" のセクションでさらに詳しく説明します。
- 管理アクセス情報の窃取と認証のバイパス：攻撃者は、安全でない CORS (クロスオリジンリソース共有) 設定を悪用して、認証トークンなどの機密アクセス認証情報を傍受し、盗むことができます。CORS ポリシーが不適切に設定されていると、悪意のあるウェブサイトが exacqVision Web サービスに不正なリクエストを送信し、認証トークンやその他の機密データにアクセスすることが可能になります。これらの認証情報が侵害されると、exacqVision Web サービスとやりとりできる攻撃者は、標準の認証メカニズムを回避し、事実上、システムに不正に侵入することが可能になります。
脆弱性リストと影響を受けるバージョン
以下の表は、exacqVision Web サービスで発見されたすべての脆弱性を CVSS v3.1 基本値の順に並べて示しています。バージョン 24.03 までのすべての製品がこの問題の影響を受けます。
脆弱性スポットライト
発見された脆弱性の影響を説明するために、概念実証(PoC)を作成した。このPoCでは、RTSPプロトコルを介して任意のコンテンツを注入することで、ビデオストリームをハイジャックできることを実証しています。その結果、ユーザー・インターフェースには、セキュリティ・カメラが実際に録画しているものとは異なる画像が表示されます。
初期ネットワーク構成は図3 に示されています。ここでは、exacqVision デバイスがサードパーティのセキュリティカメラ (この例では、人気の Axis カメラ) からリアルタイムストリームを受信しています。
exacqVision デバイスが受信したビデオストリームは、図4 に示すように、サードパーティアプリケーションに送信されます。
証明書の検証が行われないことを悪用し、社内ネットワークにアクセスした攻撃者は、マンインザミドル (MitM) 攻撃を試みる可能性があります。これにより、図5 に示されているように、カメラと監視システム間の安全な RTSP セッションを中断し、偽の RTSP ストリームを注入することが可能になります。
攻撃の結果は図 6に示されています。オリジナルのビデオストリームがカスタムのものに置き換えられています。 今回のケースでは、攻撃を特に目立たせるために、よく知られたミュージックビデオが挿入されています。 しかし、悪意のあるユーザーは、前の部屋の画像のループを再生し、監視システムに事実上の死角を作り出すことができます。 スパイ映画でよく描かれるこのテクニックは、セキュリティ担当者が不正な活動や侵入に気づくことを不可能にします。偽装フィードは、攻撃者の物理的な存在を隠すだけでなく、改ざんや盗難の証拠も隠すため、検知と対応が大幅に遅れます。
修復
これらの脆弱性を修正するには、JCI (Johnson Controls International) がリリースした exacqVision Web サービスの 24.06 にアップデートすることが不可欠です。この更新版には、JCI とNozomi Networks の共同作業により開発された重要なセキュリティパッチが含まれています。これらのパッチは特定された脆弱性に対応しており、システムが潜在的な悪用から保護されることを保証します。最新バージョンにアップグレードすることで、ユーザーはネットワークとデバイスを不正アクセスから保護し、ビデオストリームの整合性を維持することができます。exacqVision システムのセキュリティと信頼性を強化するため、この更新を速やかに実施することを強くお勧めします。
