キヤノン製プリンタのファームウェアを改ざん、セキュリティ企業が披露

　英セキュリティ企業のContextは、9月12日にロンドンで開かれた情報セキュリティカンファレンスの「44Con」で、キヤノン製プリンタのファームウェア更新プロセスをインターネット経由で改ざんして不正なファームウェアを仕込むデモを披露した。

　Contextのブログによると、同社はキヤノンが海外で販売している無線プリンタ「PIXMA」について、インク残量のチェックやファームウェアアップデートのチェックに使われるWebインタフェースがユーザー認証を必要とせず、誰でも接続できてしまう状態だったことを発見した。

　不正なファームウェアの導入を防ぐための署名などの対策も実装されておらず、非常に強度の弱い暗号しか使われていなかったとContextは解説する。

　この問題を利用すれば、ファームウェアのアップデートを開始させると同時にWebプロキシ設定やDNSサーバを変更し、プリンタがファームウェアをチェックしに行く先を別の場所にリダイレクトすることが可能だったという。

　同社はカスタム版のファームウェアを作成し、印刷される文書を監視したり、ネットワークへのゲートウェイとして利用できるトロイの木馬イメージをユーザーのプリンタに仕込むデモを披露した。

　キヤノンには2014年3月に、この問題を通報したといい、キヤノンは6月に問題の存在を確認。今後発売するPIXMAではWebインタフェースにユーザー名とパスワードによる認証を導入するなどの対策を表明したとContextは伝えている。

　今回のデモは、Contextが「モノのインターネット」のセキュリティ対策の不備を露呈させる研究の一環として披露した。「ワイヤレスプリンタや『モノのインターネット』デバイスは、インターネットに接続しない方がいい」と同社は勧告している。