シスコでのWeb会議のセキュリティや脆弱性の問題について調査

インターネット通信の高速化に伴い、テレワークの普及も進んだ現代においてWeb会議サービス・VPN製品はより多く利用されるようになりました。
一方でセキュリティ面の脆弱性を狙ったサイバー攻撃が多発しており、ここではシスコが提供するWeb会議システムのセキュリティ・脆弱性について追っていきます。

シスコの提供するWeb会議システム

シスコが提供しているWeb会議システムは、Webexと呼ばれるサービスです。
ミーティングスと銘打たれた製品では、インターネット環境さえあれば設備がなくても端末を利用して遠隔地との会議が行えます。
資料データを共有しつつ、場所・端末に縛られずスムーズかつ密度の濃いコミュニケーションが得られることが特徴です。
パソコンおよびスマートフォンなどの電子端末と、インターネット環境さえ用意すれば自由にWeb会議ができます。
ソフトウェアを事前にインストールしたり、自社内でのシステム構築をしたり、といった手間・コストが発生しません。
全世界で利用されている、メジャーなOSに対応しており環境に縛られない点も魅力的です。
さまざまな地域・言語に対応しており、その対応言語は20ヶ国語にものぼります。
Web会議システムの無料オプションであるミーティングセンター・サービスを使えば、テレビ会議の端末からも参加可能です。
シスコからは他にも行事・イベントや、研修に特化したソフト・サービスが用意されています。

セキュリティの脆弱性が確認された製品は？

2021年3月に公開された情報によれば、シスコの製品である「WebexMeetings」にセキュリティに関する脆弱性が見られたと報告されています。
問題となった箇所は配布リスト機能であり、認証されたリモートのサイバー攻撃者が配布リストを変更できるようになってしまう、という点です。
組織の別ユーザに属している配布リストを、外部からの侵入者に晒されてしまいます。
この原因は配布リストの更新要求に対して、許可の適用法が不十分である点です。
ミーティングスのインターフェイスに巧妙な細工を施した要求を送信し、既存の配布リストを変更できてしまいます。
セキュリティシステムの脆弱性が見られたのは、ミーティングスの41.2.0より前のバージョンの製品に対してです。
この後にリリースされた新しいバージョンのソフトウェアに関しては、脆弱性が見られません。
なおこの脆弱性に関しては、シスコのWebexMeetingsServerにも影響を与えないと自社のページで発表しています。