Android OS においてアプリの署名の検証が不十分な脆弱性（Scan Tech Report） | ScanNetSecurity
2024.04.29(月)

Android OS においてアプリの署名の検証が不十分な脆弱性（Scan Tech Report）

Android OS には、アプリの署名の検証が不十分な脆弱性が存在します。

脆弱性と脅威 エクスプロイト
facebookLINE
1.概要
Android OS には、アプリの署名の検証が不十分な脆弱性が存在します。
攻撃者は、ユーザに本脆弱性を悪用したアプリをインストールさせようとします。ユーザがその不正なアプリをインストールすると、署名の検証を回避して端末にインストールされている正規のアプリを不正なアプリが上書きしてしまいます。
その結果、不正なアプリが正規のアプリになりすましたり、正規のアプリが動作している権限を悪用されたりする可能性があります。
この脆弱性は、Android security bug 8219321 や Master Key の脆弱性とも呼ばれています。


2.深刻度(CVSS)
9.3
http://nvd.nist.gov/cvss.cfm?name=&vector=(AV:N/AC:M/Au:N/C:C/I:C/A:C)&version=2


3.影響を受けるソフトウェア ※
Android OS 1.6 から 4.2 のバージョン


4.解説
Android OS 1.6 から 4.2 のバージョンには、アプリの署名の検証が不十分な脆弱性が存在します。

Android OS では、インストールする Android アプリのパッケージファイル(APK ファイル)に署名が必要です。署名はアプリの開発者が用意した秘密鍵を用いて行います。また、インストールされているアプリを更新(上書き)するためには、同じ鍵で署名された APK ファイルではなければなりません。

しかし、APK ファイル内に同じ名前のファイルが複数存在する場合、署名の検証を行うファイルと実際にインストールするファイルが異なるため、APK ファイルに細工することで署名の検証を回避して、端末にインストールされている正規のアプリを不正なアプリが上書きすることができてしまいます。

本脆弱性は、Bluebox Security 社により Master Key の脆弱性として公表されました(*1)。2013年2月に Google 社に情報を開示し、Black Hat USA 2013にて詳細を公表する(*2)とのことですが、すでに脆弱性を実証する PoC コードが出回っており、本脆弱性を悪用する APK ファイルを作成することが可能な状況です。

脆弱性を悪用したマルウェアが確認されています(*3)。そのため、次に示す緩和策を実施し、提供元が信用できないアプリをインストールしないようにすることを推奨します。

(*1): http://bluebox.com/corporate-blog/bluebox-uncovers-android-master-key/
(*2): http://www.blackhat.com/us-13/briefings.html#Forristal
(*2): http://www.symantec.com/connect/ja/blogs/android-18


5.対策(緩和策)
影響を受ける端末における根本的な対策は、本脆弱性を修正した Android OS にアップデートすることですが、執筆時点ではアップデートが提供されているという情報はありません。

しかし、Google Play では、本脆弱性を悪用したアプリが配布されないようにチェックしているという報道や(*4)、本脆弱性への対応を謳ったセキュリティソフトが存在します(*5)。

以上のことから、下記の緩和策が有効と考えます。

▽不正なアプリをインストールする可能性を減らす策
・Google Play などの信頼できるマーケットからのみアプリをインストールする
・「提供元不明のアプリ」設定のチェックを外す

▽本脆弱性を悪用したアプリを検知する策
・セキュリティソフトを使用する

(*4): http://jp.techcrunch.com/2013/07/10/20130709google-plugs-android-hole/
(*5): http://www.symantec.com/connect/ja/blogs/android-17

◆参考
Bluebox Security 社が、自身が使用している端末が脆弱性の影響を受けるのか、脆弱性を悪用したアプリがインストールされているのかを調査するアプリを公開しています(*6)。このアプリのレビュー欄によると、対策済みの端末があるようです。

(*6): https://play.google.com/store/apps/details?id=com.bluebox.labs.onerootscanner
アプリの使用は自己責任でお願いします。


6.ソースコード
（Web非公開）

（執筆：株式会社ラック　サイバー脅威分析センター）

※Web非公開該当コンテンツ閲覧をご希望の方はScan Tech Reportにご登録（有料）下さい。

Scan Tech Report
http://scan.netsecurity.ne.jp/archives/51916302.html

《吉澤 亨史（ Kouji Yoshizawa ）》

関連記事

関連リンク

特集

PageTop

アクセスランキング

  1. 今日もどこかで情報漏えい 第23回「2024年3月の情報漏えい」なめるなという決意 ここまでやるという矜恃

    今日もどこかで情報漏えい 第23回「2024年3月の情報漏えい」なめるなという決意 ここまでやるという矜恃

  2. 雨庵 金沢で利用している Expedia 社の宿泊予約情報管理システムに不正アクセス、フィッシングサイトへ誘導するメッセージ送信

    雨庵 金沢で利用している Expedia 社の宿泊予約情報管理システムに不正アクセス、フィッシングサイトへ誘導するメッセージ送信

  3. セトレならまちで利用している Expedia 社の宿泊予約情報管理システムに不正アクセス、フィッシングサイトへ誘導するメッセージ送信

    セトレならまちで利用している Expedia 社の宿泊予約情報管理システムに不正アクセス、フィッシングサイトへ誘導するメッセージ送信

  4. スペシャリスト集結！ マネーフォワード・ラック・富士ソフト・電通総研から学ぶ、脆弱性診断内製化の成功法則とは？ AeyeScan 導入企業との公開対談

    スペシャリスト集結！ マネーフォワード・ラック・富士ソフト・電通総研から学ぶ、脆弱性診断内製化の成功法則とは？ AeyeScan 導入企業との公開対談PR

  5. 重い 高い 検索も使いにくいメールを企業の 6 割が使う理由

    重い 高い 検索も使いにくいメールを企業の 6 割が使う理由

  6. TvRock にサービス運用妨害（DoS）と CSRF の脆弱性

    TvRock にサービス運用妨害（DoS）と CSRF の脆弱性

  7. NETGEAR 製ルータにバッファオーバーフローの脆弱性

    NETGEAR 製ルータにバッファオーバーフローの脆弱性

  8. 富士通の複数の業務パソコンにマルウェア、個人情報を含むファイルを不正に持ち出せる状態に

    富士通の複数の業務パソコンにマルウェア、個人情報を含むファイルを不正に持ち出せる状態に

  9. NDIAS「車載器向けセキュリティ技術要件集」活用したコンサルサービス提供

    NDIAS「車載器向けセキュリティ技術要件集」活用したコンサルサービス提供

  10. 札幌で「CSIRT のはじめ方」ワークショップ 5/16 開催、北海道在勤在住者は参加費 5 万円が無料

    札幌で「CSIRT のはじめ方」ワークショップ 5/16 開催、北海道在勤在住者は参加費 5 万円が無料

ランキングをもっと見る
ホーム › 脆弱性と脅威 › エクスプロイト › 記事
TOP