特定のAndroid端末用アプリに存在するセキュリティ上の「不具合」を確認(トレンドマイクロ)

　トレンドマイクロは16日、特定のAndroid端末用アプリに存在するセキュリティ上の「不具合」を確認したことを発表した。非常に人気の高い“生産性アプリ”と“ショッピング関連アプリ”に、すでに影響があることを確認したという。

脆弱性と脅威脅威動向

2014.5.20 Tue 8:00

　トレンドマイクロは16日、特定のAndroid端末用アプリに存在するセキュリティ上の「不具合」を確認したことを発表した。非常に人気の高い“生産性アプリ”と“ショッピング関連アプリ”に、すでに影響があることを確認したという。

　この不具合は、属性「android:exported」を持つ、アプリの機能を実行する特定のコンポーネントに存在するという。この属性が「true」に設定されている場合、他のアプリケーションからの実行およびアクセスを可能にするため、サイバー犯罪者が悪用する可能性があるとのこと。あるショッピング関連アプリでは、特定の「Activity」が攻撃を受けやすく、他のアプリによって動作される可能性があることが明らかとなっている。問題のActivityは、ユーザが購入すると表示されるポップアップを表示するもので、不正なアプリがそのショッピング関連アプリ内のポップアップを表示し、不正なリンクや他の不正なアプリに誘導する可能性がある。

　また別の方法として、異なるアプリ間で情報を共有する機能「Content Providers」を狙い、情報収集に利用することができるという。適切なパーミッション保護レベルを設定しなければ、Content Providersは攻撃に無防備となるため、ある生産性アプリでは、モバイル端末にインストールされたすべてのアプリに、読み書きが可能となってしまっていた。

　トレンドマイクロでは、アプリで使用されるコンポーネントを確認し、コンポーネントへのアクセスが適切に制限されていることを確かめるよう呼びかけている。

Android端末用アプリのコンポーネントに「不具合」が存在

《冨岡晶@RBB TODAY》