今年のPwn2Ownハッキングコンテストでは、これまですでに高度なハッキングテクニックをいくつも開拓してきた二人のセキュリティ研究家が優勝した。それらの中には、Amazon Echoに対する攻撃もある。
Amat Cama（アマト・カマ）氏とRichard Zhu（リチャード・チュー）氏の2人から成るTeam Fluoroacetateは、Alexa対応のスマートディスプレーであるAmazon Echo Show 5の最新機種に対する整数オーバフロー攻撃で、6万ドル（約650万円）のバグ褒賞金を獲得した。
Pwn2Ownコンテストを主催したTrend MicroのZero Day InitiativeのディレクターであるBrian Gorenc（ブライアン・ゴレンク）氏によると「彼らは、そのデバイスがGoogleのオープンソースブラウザーであるChromiumの古いバージョンを使っていることを見つけた。それは、開発のある時点でフォークされたコードだった。しかしそのバグにより、悪質なWi-Fiホットスポットに接続するとデバイスを完全にコントロールすることができた」と語っている。
研究者たちは彼らのエクスプロイト（コンピュータやスマートフォンのOSの脆弱性を悪用して攻撃を仕掛けるプログラム）を、外部の妨害を防ぐために高周波遮断容器の中でテストした。「コンテストの間に侵害されたIoTデバイスの多くに、このパッチのバグがあった」と。ゴレンク氏。
Amat Cama（左）とRichard Zhu（右）の2人がTeam Fluoroacetate（画像提供: ZDI）
整数オーバーフローバグは、整数演算が数を作ろうとしたとき十分な大きさのメモリーがないと起きる。その数は、割り当てられたメモリーの外へオーバーフローする。そして、デバイスのセキュリティが壊される。
問い合わせに対してAmazonは「この研究を調査中であり、調査の結果に基づいて、弊社のデバイスを保護するための適切な処置を取る」と言った。それがどんな処置でいつ行われるのかについては、無言だった。
コンテストには、Echo以外にもインターネットに接続されるデバイスがいろいろ登場した。この前コンテストの主催者は、Facebook Portalをハックする機会があるだろうと述べた。それは、そのソーシャルメディア大手が提供するビデオ通話が可能なスマートディスプレイだ。しかし今回、Portalを攻撃したハッカーはいなかった。
関連記事：Security flaws in a popular smart home hub let hackers unlock front doors（人気のスマートホームハブはハッカーがドアの鍵を開けられる、未訳）
[原文へ]
（翻訳：iwatani、a.k.a. hiwa）
