セキュリティカメラメーカー Hanwha Vision、ファームウェアに GitHub 管理者トークンを混入──フロントエンドのビルド設定ミスが原因
CI環境の全環境変数がViteビルド時に埋め込まれる不備により、管理者権限を持つGitHubトークンがカメラのファームウェア内に流出していた。
リリース: 2023-01-01 · 読了 5 分記事の要約
1. 核心（What）
- Hanwha Vision製セキュリティカメラのファームウェアから、GitHubの管理者権限を持つトークンが発見された。
- 調査対象の約500件のファームウェアのうち、約62%が解析可能であり、その一部から同一のトークンが検出された。
- トークンはフロントエンドのビルドツール「Vite」の設定ミスにより、CI環境の全変数がビルド成果物に書き込まれたことで混入した。
- 報告から12時間以内に当該トークンは失効済み。
2. 影響（Why）
- CI/CDの環境変数管理: フロントエンドのビルドプロセスで process.env をそのまま埋め込む設計は、機密情報を製品に混入させる致命的なリスクを孕んでいる。
- 国内製造業のサプライチェーンリスク: 国内の防犯カメラ・IoT機器メーカー（中規模以上の組織）は、CI環境の共通化に伴う機密情報の漏洩リスクを再評価すべきである。
3. 根拠・詳細（How）
- ファームウェアの解析手法: Ghidraを使用して暗号化されたファームウェアの復号ロジックを解析し、固定のAESキーとIVを特定することで rootfs を抽出した。
- 機密情報の自動検出: 抽出したファイルシステムに対し、TruffleHog を実行してハードコードされた認証情報をスキャンし、GitHubトークンを特定した。
4. 展望・課題（Next）
- ビルドプロセスの見直し: CI環境において、ビルド時に必要な変数のみを明示的に指定する構成への移行が必須である。