「Intel Crosswalk Project」にSSLサーバ証明書の検証が阻害される脆弱性（JVN）

IPAおよびJPCERT/CCは、Intelが提供する、AndroidおよびiOS向けのハイブリッドアプリを開発するためのフレームワーク「Intel Crosswalk Project」に、SSLサーバ証明書の検証が阻害される脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威セキュリティホール・脆弱性

2016.8.2 Tue 8:00

独立行政法人情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は8月1日、Intelが提供する、AndroidおよびiOS向けのハイブリッドアプリを開発するためのフレームワーク「Intel Crosswalk Project」に、SSLサーバ証明書の検証が阻害される脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。CVSS v3による最大Base Scoreは4.2。影響を受けるバージョンは以下の通り。

・Crosswalk Project 19.49.514.5 (stable) より前のバージョン
・Crosswalk Project 20.50.533.11 (beta) より前のバージョン
・Crosswalk Project 21.51.546.0 (beta) より前のバージョン
・Crosswalk Project 22.51.549.0 (canary) より前のバージョン

これらのバージョンには、不正なSSLサーバ証明書をユーザが許可した際の処理に問題があり、アプリによるそれ以降のSSLサーバ証明書すべての検証が阻害される脆弱性（CVE-2016-5672）が存在する。JVNではアプリの開発者に対し、対策済みバージョンにアップデートし、アプリをリビルドするよう呼びかけている。

《吉澤亨史（ Kouji Yoshizawa ）》