DJI CrystalSky ZS600Cに認証なしADB、修正版は未公表
DJI CrystalSky ZS600C のファームウェア v0.3.9.7 から v0.6.6.9 では、デバッグ機能 adbd に認証がなく、接続した相手が本人確認なしで端末内のシェルを使えます。ドローン運用で本機を使う組織が対象で、修正版は現時点で公表されていません。まず端末の台数と版を把握し、ネットワーク経由の ADB を有効にしていないかを確認してください。
急ぎ度: 早めに
深刻度は高いものの、初期状態で攻撃に使えるのはUSBで端末に接続できる相手に限られ、実際の悪用が確認されたという情報も現時点で明らかになっていないためです。
関係があるか
業務でドローンの映像確認や飛行管理にDJI CrystalSky ZS600Cを使っている組織が対象です。特にネットワーク経由のADBを有効にした端末や、第三者が手に取れる場所に置かれた端末は優先して確認が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| DJI CrystalSky ZS600C(ファームウェア) | v0.3.9.7からv0.6.6.9まで | 公表されていません |
確かめ方
- 1社内や現場で使っているCrystalSkyの台数と型番を洗い出し、ZS600Cが含まれるかを確認します。
- 2各端末のファームウェアの版を、端末の設定画面の端末情報などで確認し、v0.3.9.7からv0.6.6.9の範囲に入るかを見ます。
- 3ネットワーク経由のADBが有効になっていないかを確認します。管理用PCからUSB接続した端末で次のコマンドを実行し、ポート番号（例: 5555）が表示されれば有効化されています。空欄なら設定されていません。
- 4運用手順書や作業履歴に、ADBをTCPで使うための手順（同梱のスクリプトの実行や
setpropの設定）が含まれていないかを確認します。
何が起きたか
DJI CrystalSky ZS600Cのファームウェアに、認証なしで端末内の操作画面（シェル）を開ける弱点が見つかりました。Android端末には開発者向けにデバッグ用の接続機能ADBがあり、通常は接続元のPCを端末側が許可してはじめて使えます。この端末では、その許可の確認が行われない状態で出荷されています。
技術的には、ADBの常駐プログラムadbdが ro.adb.secure=0（ホスト鍵による認可なし）の設定で動き、USB経由のADBも初期状態で有効です。これにより、端末にUSB接続できる相手はuid 2000のシェルを得られます。この権限は管理者（root）ではありませんが、rootへの権限昇格に向けた足がかりになると説明されています。弱点の種類は、重要な機能に認証がない問題（CWE-306）です。
ネットワーク経由のADB(TCP)は初期状態では無効です。ただし、同梱の /system/bin/adbd_tcp.sh を使う、または setprop persist.adb.tcp.port 5555 のように設定すると有効になります。有効にした端末では、ネットワークで到達できる相手が同じ認証なしのシェルを使えるようになります。CVSS 4.0の基本値は9.3で、深刻度はcriticalとされています。この評価は、ネットワーク越しに到達できる場合を想定した値です。
攻撃の流れ
-
1
端末へ到達
USBで端末に接続できる、またはTCPのADBを有効にした端末にネットワークから到達できる相手が対象になります。
-
2
認証なしで接続
ホスト鍵による認可が行われないため、接続の許可を求められずにADBが受け入れられます。
-
3
シェルを取得
uid 2000の権限で、端末内のコマンド実行画面が使えるようになります。
-
4
権限昇格の足場
この足がかりからrootへの権限昇格につなげられる可能性があると説明されています。
どう悪用されるか
悪用にIDやパスワードは要らず、利用者の操作も必要ありません。初期状態で攻撃できるのは、端末にUSBケーブルでつなげる相手です。端末の紛失や盗難、保管場所への立ち入り、貸し出し中の持ち出しなどが現実的な経路になります。ADB over TCPを有効にしている場合は、同じネットワークや経路上から到達できる相手も対象に加わります。
悪用されると、端末内のデータの読み取りや書き換え、設定の変更、アプリの導入などが可能になるおそれがあります。CVSSの評価でも、機密性・完全性・可用性への影響はいずれも高とされています。rootまで奪われた場合の具体的な被害は公表されていません。実際の攻撃での悪用が確認されたという情報も、現時点では明らかになっていません。
今すぐやること
-
1
対象端末と版を把握する
CrystalSky ZS600Cの台数、設置場所、持ち出し状況、ファームウェアの版を一覧にします。v0.3.9.7からv0.6.6.9の端末が対象です。
-
2
ネットワーク経由のADBが有効か確かめる
管理用PCからUSB接続した自社の端末で設定値を確認します。ポート番号が表示された場合は有効化されているため、運用上の必要性を確認し、不要なら無効にする方法をベンダーに問い合わせます。
adb shell getprop persist.adb.tcp.port -
3
ネットワークからの到達を断つ
端末を業務用ネットワークやインターネットに直接つながない構成にします。ADBのTCPポート（例: 5555）への通信を、境界やセグメント間で拒否します。
-
4
物理的な管理を強める
初期状態の攻撃はUSB接続が前提です。端末は施錠できる場所で保管し、貸し出しや持ち出しの記録を取り、第三者が手元に置ける時間を減らします。紛失時の連絡手順も決めておきます。
-
5
ベンダーの告知を確認する
修正版や公式の回避策は現時点で公表されていません。DJIの告知と下記の参考情報を定期的に確認し、修正版が出たらすぐ適用できるよう準備します。
すぐ更新できないとき
公式の回避策は公表されていません。ネットワーク経由のADBを有効にしないこと（同梱の adbd_tcp.sh を実行しない、persist.adb.tcp.port を設定しない）、すでに有効にしている場合は、使わなくてよければ無効に戻すことが当面の対策になります。あわせてADBのTCPポートへの通信をネットワーク側で拒否し、端末を施錠して保管してください。USBのADBを端末側の設定で無効にできるかは公表されていないため、ベンダーに確認してください。
背景
CrystalSkyは、ドローンの映像確認や飛行計画に使うAndroidベースのモニター端末です。点検、測量、警備などの現場で使われ、現場の映像、位置情報、飛行記録などが端末に集まります。業務の機器でありながら、パソコンのように管理対象として扱われにくい点には注意が必要です。
ADBは開発やデバッグのための仕組みで、本来は接続元のPCを端末が確認してから使わせる設計です。この確認を無効にしたまま出荷される製品や、ネットワーク越しにADBが開いたままになる機器は、Android系の組み込み機器で繰り返し問題になってきました。デバッグ機能の出荷時設定は、製品の安全性に直結します。
よくある質問
Q.インターネットから攻撃される可能性はありますか。
Q.すでに攻撃に使われていますか。
Q.修正版はありますか。
まだ分かっていないこと
- 修正版のファームウェアの有無と、提供の時期は公表されていません。
- rootへの権限昇格の具体的な方法や、実際の攻撃での悪用の有無は明らかになっていません。
- USBのADBを、利用者が端末の設定で無効にできるかは公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| DJI | CrystalSky ZS600C |
0.3.9.7 〜 0.6.6.9 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Missing authentication for a critical function in the Android Debug Bridge daemon (adbd) in DJI CrystalSky ZS600C firmware v0.3.9.7 through v0.6.6.9 allows an attacker to obtain an unauthenticated shell (uid 2000), a foothold for privilege escalation to root. The device ships with ro.adb.secure=0 (no host key authorization) and USB ADB enabled by default; ADB over TCP is not enabled by default but, once enabled (e.g. via the shipped /system/bin/adbd_tcp.sh or 'setprop persist.adb.tcp.port 5555'), the same unauthenticated shell is reachable over the network (CVSS 4.0 base 9.3).
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web vulnerability@ncsc.ch
- web nvd.nist.gov
- web github.com