会議室用ウェブカメラに脆弱性、詳細も公開 - 米政府は悪用脆弱性リストに追加

「Meeting Owl Pro」に関しては「CVE-2022-31460」にくわえて、バックドアとなるパスコードがハードコードされている脆弱性「CVE-2022-31462」や、Bluetoothコマンドがパスコードなしに実行できる脆弱性「CVE-2022-31463」など、セキュリティ研究者によって4件の脆弱性が指摘されている。

CVSS基本値を見ると、「CVE-2022-31462」が「9.3」、「CVE-2022-31463」が「8.2」。そのほか2件の脆弱性「CVE-2022-31459」「CVE-2022-31461」は「7.4」と評価されている。

これら脆弱性は、modzeroが発見したもので、現地時間6月3日にレポートを公表している。同レポートにおいて、脆弱性が端末やバックエンドサーバ、アプリ、管理するウェブアプリケーションなどに影響があると指摘。「MQTTサーバ」との通信における問題にも言及している。

同レポートによると、modzeroが最初にOwl Labsへ報告を試みたのは2022年1月だったという。数度連絡を取るものも連絡はなく、脆弱性の公開にあたり最後通告を行ったところ2月17日にテクニカルサポートから連絡があり、Owl LabsのCTOとはじめて連絡が取れたのが2月下旬だった。

同社より「再現できた脆弱性については修正する」との回答があり、3月14日の週内にパッチの提供を開始し、5月9日の週には、すべての問題を解決するとの連絡を受けていた。しかし、modzeroがレポートを執筆していた時点で最新版だった5月11日リリースの「同5.2.0.15」でも、これら脆弱性は修正されていなかった。

（Security NEXT - 2022/06/13 ）ツイート

会議室用ウェブカメラに脆弱性、詳細も公開 - 米政府は悪用脆弱性リストに追加

関連リンク

PR

関連記事