Bluetooth の実装における複数の脆弱性について

9月12日（米国時間）に、「BlueBorne」と呼ばれる Bluetooth の実装における複数の脆弱性情報が公開されました。

これらの脆弱性を悪用された場合、攻撃者により Bluetooth の有効範囲内から任意のコードが実行され、デバイスが操作されたり、情報を窃取される等の可能性があります。

これらの脆弱性は、Android、iOS、Windows、Linux などの主要なオペレーティングシステムに存在し、Bluetooth を使用可能なデバイスが影響を受けます。

現時点で、攻撃コードおよび攻撃被害は確認されていませんが、今後本脆弱性を悪用する攻撃が発生する可能性があります。

各製品開発者からの情報に基づき、ソフトウエアのアップデートを行うなど、対策を検討してください。

アップデートする

OS の開発者より、本脆弱性に関する情報が提供されています。開発者からの情報に注意し、アップデート等の対策を行ってください。

Android の場合

• Android Security Bulletin―September 2017
  https://source.android.com/security/bulletin/2017-09-01

Linux の場合
- RedHat

• Blueborne - Linux Kernel Remote Denial of Service in Bluetooth subsystem - CVE-2017-1000251
  https://access.redhat.com/security/vulnerabilities/blueborne
CVE-2017-1000250
https://access.redhat.com/security/cve/CVE-2017-1000250
- ubuntu

• Bluetooth/BlueZ information disclosure in BlueZ and remote code execution in the bluetooth L2CAP stack in the Linux kernel (CVE-2017-1000250, CVE-2017-1000251 aka BlueBorne)
  https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/BlueBorne
  
  Windows の場合
  
• CVE-2017-8628 | Microsoft Bluetooth ドライバーのなりすましの脆弱性
  https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8628
　　

※なお、iOS 10以降は影響を受けないとの情報がございます。

更新プログラムが利用できない場合、影響を受けるユーザーは次の回避策をご検討ください。

Bluetooth を無効にする

Bluetooth を利用しない場合は設定を無効にすることで、本脆弱性の影響を回避できるとの情報があります。

• BlueBorne Information from the Research Team - Armis Labs
  https://www.armis.com/blueborne/
• CERT/CC Vulnerability Note VU#240311:Multiple Bluetooth implementation vulnerabilities affect many devices
  https://www.kb.cert.org/vuls/id/240311
• Bluetooth の実装における脆弱性 "BlueBorne" に関する注意喚起
  https://www.jpcert.or.jp/at/2017/at170037.html
• JVNVU#95513538：様々な Bluetooth 実装に複数の脆弱性
  https://jvn.jp/vu/JVNVU95513538/

• サイバーセキュリティ注意喚起サービス「icat for JSON」
  ～Webコンテンツ内にHTMLタグを記載することで、IPAから発信する「重要なセキュリティ情報」をリアルタイムに自組織内のWebサイト上などに表示できます。脆弱性対策の促進にご活用ください。～
  https://www.ipa.go.jp/security/vuln/icat.html

E-mail：