ロボット掃除機 COCOROBO におけるセッション管理不備の脆弱性（JVN#76382932）

サイバー・グリッド・ジャパン

メルマガ登録する

メルマガ登録する

LAC Advisory No.125

脅威度

中

概要

シャープ株式会社が提供するロボット掃除機「COCOROBO」（RX-V200ほか4機種）にはセッション管理不備の脆弱性があります。これにより、第三者にロボット掃除機が乗っ取られる恐れがあります。対象は、同社が不具合対応のためとして11月8日に公開したファームウェアの更新をしていない機器です。

注）ファームウェアとは、コンピュータやデジタル家電などに搭載されている、本体を動かすために必要なソフトウェア（プログラム）のこと。

詳細

本脆弱性は、セッション管理不備に起因するものです。セッションとは、利用者を識別するためのものです。複数の人が同じコンピュータを利用する場合、AさんとBさんが別人であることを識別する必要があります。このとき、コンピュータはAさんとBさんにそれぞれ異なるランダムな文字列（セッションキー）を割り当てます。コンピュータは、この文字列によってAさんとBさんを識別します。本脆弱性は、この識別に不備があり、例えばAさんがBさんになりすましてロボット掃除機を操作できるという問題です。

対象となっているロボット掃除機は、利用を始める際に利用者のスマートフォンとペアリングし、そのスマートフォンからのみ操作できるようにセッションキーを設定していました。しかしセッションキーは、条件が整えば第三者によって簡単に取得されてしまい、第三者が外部からロボット掃除機を自由に操作できてしまうことが分かりました。具体的には、ロボット掃除機を動かす、掃除をさせる、カメラで撮影する、ビデオストリームを送信させるなどです。

ひとたび第三者にセッションキーが取得されると、それを継続して使われる恐れがあります。また、セッションキーがなくてもロボット掃除機が動作してしまう場合があることも判明しています。結果として、第三者による盗撮などによって、ロボット掃除機を利用する人のプライバシーが侵害される恐れがあります。

第三者がセッションキーを盗むためには、ロボット掃除機と同じネットワーク内に第三者自身の機器を設置する必要があります。具体的には以下のようなケースが考えられます。