複数の通話アプリに「ユーザーに無断で周囲の音を送信できる脆弱性」があったとGoogleの研究者が報告

ゼロデイ脆弱性の発見を任務とするGoogle Project Zeroのセキュリティ研究者であるNatalie Silvanovich氏が、Signal、Google Duo、Facebook Messenger、JioChat、Mochaといったメッセージングアプリに「ユーザーの許可無く周囲の音を拾うこと」を可能とする脆弱性があったと発表しました。脆弱性はすでに修正済みとのことですが、パッチが適用される前には、攻撃者がコードを実行することなく標的のデバイスから音声を送信させることが可能だったとのことです。

Project Zero: The State of State Machines
https://googleprojectzero.blogspot.com/2021/01/the-state-of-state-machines.html

Bugs in Signal, Facebook, Google chat apps let attackers spy on users
https://www.bleepingcomputer.com/news/security/bugs-in-signal-facebook-google-chat-apps-let-attackers-spy-on-users/

Silvanovich氏が調べた7つのビデオ会議アプリのうち、脆弱性が発見されたのは前述の5つ。この脆弱性を利用すると、発信デバイスが受信デバイスに音声および映像データを送信させることが可能でした。「理論的には、音声や映像が送られる前に受信者の同意を得るということは、ユーザーが通話を受けるまでPeerConnectionにトラックを追加しないという、非常にシンプルな方法で実現できます。しかし、現実のアプリケーションを見てみたところ、さまざまな方法でデータ送信が可能でした。そして多くは、受信者の許可がなくとも接続を可能にする脆弱性によって行われていました」とSilvanovich氏は述べています。

たとえば、Google Duoのバグでは、通信の受け手が実際に受信しなくとも、通信の送り手に対して映像を流出させていました。なお、このバグは2020年12月に修正されています。またFacebook Messengerにも音声通話が取られる前に接続状態になるバグがありましたが、2020年11月に修正されたとのこと。JioChatとMochaにも同様の脆弱性が見つかっていましたが、JioChatは2020年7月、Mochaは2020年8月に修正。なお、同様の脆弱性がTelegramやViberに存在しないかSilvanovich氏が確認したところ、この2つについては問題なかったとのことです。

今回の調査ではグループ通話機能については調べられておらず、個人間通話のみが対象とされたとのことで、今後はグループ通話についても調べる必要性があるとSilvanovich氏は示しています。