Flock監視カメラに深刻な欠陥 旧OSと固定認証情報

Flock Safetyが展開する車両番号自動読取カメラの記録媒体画像が外部に流出し、解析結果が波紋を広げている。 非営利の公開資料団体DDoSecretsが稼働中の機器から取得されたとされる領域画像を公表した。 404 MediaとWiredが共同で調査報道を発表した。 Lobstersのmicahflee.com via robeyの報道では、研究者が同資料を独自に入手し検証した経緯が記されている。 対象は太陽光電源と組み合わせて路上に設置される監視網の中核機器である。 自治体や捜査機関が広範に導入する設備だけに、実装の実態は公共性が高い。

DDoSecretsが公開した記録媒体画像

DDoSecretsが公開したのは、現場で使われていたFlockカメラの複数の領域の複写とされる。 404 MediaとWiredの調査では、stegan0gramと名乗る集団が機器を確保し解析したとされる。 同集団は取材に対し、破壊を選ばず解析を選んだ理由を語っている。

Why just destroy [Flock cameras] when we can reverse engineer them and find the secrets of those spying on us?

別の発言では、現場で機器を確保し無力化したうえで本体と太陽光関連装置を解析したと説明している。

We liberated hardware in the field, disarmed them, and proceeded with reverse engineering of the cameras and associated solar equipment.

研究者はこの資料を入手し、搭載OSや核部分、収録物の構成を調べた。 改変されたAndroidが動作し、構築日は2025年6月5日と記録されていたという。 比較的新しい構築でありながら、基盤は世代の古い版に据え置かれていた。 路上設備の長期運用と更新停止が重なった事例として注目される。

旧世代OSを使い続ける構造的危険

当該カメラはAndroid 8.1を基盤としていた。 Android 8.1は2017年に公開され、Googleによる支援は2021年に終了した。 それにもかかわらず、修正水準は2018年6月5日のままだった。 8年分のAndroid向け修正が欠落した状態に相当する。 改変版であっても、土台の保守停止は攻撃面を広げる。 権限分離や媒体暗号化、起動検証などの機構も古い設計に縛られる。

長期設置型の機器では、通信事業者経由の更新が届かない場合がある。 電源や回線が太陽光と携帯回線に依存すると、保守作業の単価が上がる。 更新を止めたまま出荷時の構成を維持する運用に陥りやすい。 今回の事例は、製造側の保守設計と運用側の更新体制の双方に課題を示した。 機器の耐用年数と程式の保守期間を一致させる設計が求められる。

カーネルとGPU駆動機構の欠陥

Androidの土台ではLinux核3.18.71が動作していた。 3.18系列は2017年時点の枝であり、保守は2019年5月の3.18.140で終わった。 当該機器は最終版より69版分古い状態だった。 9年以上前の核を使い続ける構成である。 核の欠陥は権限奪取や情報漏えいに直結する。 路上に無人で置かれる機器では物理的な接近も想定すべきである。

報道で挙げられた欠陥の一つはCVE-2021-1905である。 Qualcomm製Adrenoの画像処理機構における解放後使用の問題だ。 機器上で動く権限の弱い処理が核の記憶領域を乱し、全体の制御を奪う恐れがある。 修正は2021年5月に提供された。 Qualcomm製演算基盤の広がりを考えれば、Snapdragon Reality Elite、AR/MR向け新チップが示す周辺装置の多様化と同様に、駆動機構の保守は供給網全体の課題と見ることができる。

もう一つはCVE-2018-9568、いわゆるWrongZoneである。 IPv6における接合部の型の混同により、機器上の処理が管理者権限を得る恐れがある。 修正は2018年12月に提供され、実証符号も公開されている。 いずれも当該機器の修正水準より後に公表されたものではない。 長期間修正を適用しなかった影響が直接表れている。 画像処理機構の開放化の動きはMesa Rusticl、Mali Panfrostを標準で有効化にも見られるが、製品側が古い専用駆動機構に留まれば恩恵は届かない。

固定認証情報がもたらす侵入経路

表題では、脆弱性と並んで固定化された認証情報の存在が指摘されている。 組み込み機器では、保守用の口令や鍵、接続先の証票を記録媒体に埋め込む例がある。 全機器で共通の値を使えば、一台の解析で全体に波及する。 機器の譲渡や廃棄、盗難時の回収漏れが致命傷になる。 遠隔管理用の経路に既定の認証が残れば、探索型攻撃の的になる。

今回の要約範囲では、具体的な利用者名や鍵の形式は特定されていない。 それでも、路上機器の性質上、物理的な取得を前提に設計すべきである。 記録媒体の暗号化や機器固有の鍵の発行、起動時の検証が基本になる。 保守用の裏口を残さない設計と、失効が可能な一時証票の運用が欠かせない。 調達側も共通認証の有無を検査項目に含める必要がある。

脆弱性開示手続きを巡る双方の主張

Flock側は取材に対し、脆弱性開示の方針を備えると説明した。 正規の経路では報告が届いておらず、限られた情報では評価できないとの立場だ。

Flock takes security seriously and maintains a public Vulnerability Disclosure Policy for security researchers to report potential vulnerabilities directly to us.

研究者側は、公開資料を基に再現可能な事実を積み上げている。 修正水準や核の版数、公開された欠陥番号は検証可能な材料だ。 実機での動的検証は未了と明言し、断定を避けた点は妥当である。 それでも、修正水準が既知の欠陥の公表日より前である事実は重い。 開示経路の形式論というより、利用者への通知と修正計画が焦点になる。 GNOME OS Test Center、Apple TestFlightに着想が示すように、検証と配布の仕組みを整える動きは各分野で進んでいる。 監視機器でも同様の検証基盤が求められる。

公共調達された監視網では、利用者である自治体や警察が修正状況を把握しにくい。 製造側の説明だけに頼らず、構成表や修正水準の開示を求める契約が重要になる。 DDoSecretsによる公開は手段の是非を巡る議論を招く。 しかし、路上に置かれた機器の程式が検証可能になった意義は大きい。 今後は第三者による再検証と、製造側の技術的な反証が注目される。

編集部の見解

短期的影響について記す。自治体や捜査機関の調達部門は、Flock機器の構成と修正計画の説明を求めると見る。製造側は開示方針に基づく受付と、版数や修正予定の公表を迫られる。競合製品でも旧型基盤の洗い直しが進むと評価する。各組織は3か月から6か月で調達要件に修正水準の明記を追加する可能性がある。

長期的視点について記す。路上設置型の監視機器では、10年単位の運用と程式の保守期間の不一致が常態化すると見る。機器固有鍵や遠隔更新、失効可能な証票を前提にした設計が標準になると評価する。調達側の検査体制が整えば、共通認証や支援切れ基盤は採用時に排除される。社会全体では監視の有効性と私権保護の均衡を巡る議論が続くと見る。

編集部からの問いについて記す。物理的に取得可能な機器にどこまで秘密を持たせるべきだろうか。公開資料による検証は正規の開示手続きを補完するものと位置づけられるだろうか。製造側の説明責任は、脆弱性の有無の否定よりも再現可能な構成の開示にあるのではないだろうか。読者には調達と運用の現場から検証材料を積み上げる視点が求められると考える。

参考

• 「Flock cameras are riddled with security vulnerabilities and hard-coded credentials」, by micahflee.com via robey — Lobsters, 2026-09-17T21:21:18.000Z (ARR)
• 元記事URL: https://micahflee.com/flock-cameras-are-riddled-with-security-vulnerabilities-and-hard-coded-credentials/