リアルタイムOS「VxWorks」に脆弱性が見つかる

リアルタイムOS「VxWorks」に脆弱性が見つかるという、深刻なニュース報道がありました。産業機器や家電製品など監視や制御のためのコンピュータシステムが組み込まれた商品を取り扱うエンジニアや経営者の皆さんは、特に注目しなければなりません。

なぜなら、リアルタイム「VxWorks」に脆弱性が見つかったというのは、とても重大な問題だからです。ではどれほど重要な問題なのか、順を追って説明しましょう。

リアルタイムOS「VxWorks」とは？

そもそも、リアルタイムOS「VxWorks」とは何でしょうか？リアルタイムとはパソコンの基本ソフトのOSの一種で、特定の機能を実現するために設計された、組み込み型のコンピュータシステムです。

普通のコンピュータは、単純な情報処理や計算処理を繰り返し行うことを得意とします。一方リアルタイムOSは情報の入出力や通信処理のみならず、製品の機能を制御したり監視したり、他の機械システムと協調したり応答性能を備えるなど、状況に適応しながらマルチな機能を発揮できるのが特徴です。

身近なところでいえば車やスマートフォン。これらは絶えず目まぐるしく動く状況の中で機能を適応させつつ安定的に作動させる必要があるため、内部に制御システムとしてのリアルタイムOSが組み込まれています。

そしてこのようなリアルタイムOSのの製品のひとつが、米国のWindRiver社が開発した「VxWorks」です。

VxWorksに見つかったゼロディ脆弱性

ゼロディ脆弱性とは？

リアルタイムOS「VxWorks」に見つかった脆弱性は、セキュリティ対策上、問題があるとされる「ゼロディ脆弱性」と呼ばれるものです。ゼロディ脆弱性とは、スペックの高さに関係なくシステム全体を危機に陥れてしまう可能性のある、セキュリティ上の弱点のことです。

機能は問題なく作動していますが、セキュリティ上の防御性能が弱く無防備になっており、サイバー攻撃や個人情報の窃取など行われやすいのが特徴です。

「VxWorks」は今回、「リモートホストに接続するときTCPの緊急ポインタが混乱状態に陥る脆弱性」や「リバースARPの論理エラーが原因でDoS攻撃またはメモリ枯渇攻撃を実行可能にする脆弱性」、「ipdhcpcによるIPv4割り当ての論理エラーで通信切断などを引き起こすことが可能な脆弱性」など、全部で11の脆弱性が見つかったと報告。脆弱性群は、「URGENT/11」と名付けられています。

VxWorksにおけるゼロディ脆弱性の問題点

「VxWorks」におけるゼロディ脆弱性の問題点は、大きく二つあります。ひとつ目は、「VxWorks」内部のセキュリティがとても弱く、外部からの攻撃や情報窃取に遭う危険性が高いということです。

万が一、サイバー攻撃の標的にされた場合、コンピュータシステム内部の基幹部分が破壊されて機能不全に陥ったり、個人情報を始めとする重要な情報が外部に持ち出されたりするなど、想定される損害や被害は深刻なものになります。

なお、「VxWorks」は1987年以降、過去に13個の脆弱性しかなかったと報告されています。13個と聞くと安心するかもしれませんが、実際は逆です。

最初のリリースがなされた1987年から今日まですでに30年以上が経っているにも関わらず、過去に13個の脆弱性しか見つからなかったということは、ソフトウェアが堅牢で欠陥が少なかったのではなく、むしろ凄腕のハッカー達に脆弱性が見出されることなく、結果的にセキュリティ上のリスク要因が放置されてきたことを意味します。

脆弱性は既に存在していたが、発見されていなかっただけということです。30年という月日の中で、ハッカーのスキルが向上しあるいは巧妙化したことにより、今回は脆弱性が発見されるに至ったわけですが、その間、長らくセキュリティ対策がなされず、不備と危険性が放置されたことは大きな問題点と言っていいでしょう。

ゼロデイ攻撃への対策

「VxWorks」に限らず、リアルタイムOSでゼロディ脆弱性が見つかった場合は、すぐに対策をとらなければなりません。

開発者や販売者が問題点を解析した上で修正パッチを配布することはもちろんですが、それに加えて、未知のコンピューターウイルスやサイバー攻撃に対する監視や追跡を継続的に行い、常に最新のセキュリティ対策とプログラムを準備しておくことです。

外部からの攻撃性能の向上とセキュリティ対策は常にいたちごっこになるので、　ベンダーもユーザーもその点を踏まえた隙の無い対策を施しておかなければなりません。

まとめ

今回は、リアルタイムOS「VxWorks」に見つかったゼロディ脆弱性について紹介しました。ゼロディ脆弱性の存在は、当該コンピュータシステムにセキュリティ上の不備があることを示すもので、一製品の機能を弱体化させるに留まらず、それと繋がった一連の機器で構成されるネットワーク自体を破壊したり、膨大な量の個人情報を流出させたりする恐れがあります。

専門用語が飛び交う世界の議論なだけに、一般には理解しづらいところもあるかもしれませんが、自動車や携帯電話、さらにはIoT(モノのインターネット)など身近な暮らしにも関係ある問題となっていますので、今回のニュースの概要だけでも抑えておくといいでしょう。