劣化したライブラリが招くAndroidアプリのリスク | ScanNetSecurity
2020.08.08(土)

劣化したライブラリが招くAndroidアプリのリスク

アプリ開発において、オープンソースライブラリやGitHubのようなレポジトリはなくてはならないものだが、そこには落とし穴もある。

研修・セミナー・カンファレンス セミナー・イベント
PacSecで講演するMarc Schonefeld氏
PacSecで講演するMarc Schonefeld氏 全 3 枚 拡大写真
アプリ開発において、オープンソースライブラリやGitHubのようなレポジトリはなくてはならないものだ。多くのソフトウェアに利用され実績もあるライブラリは、完成コンポーネントとして使えるメリットの他、メジャーなものなら脆弱性の心配も少ないはずだ。

一般論としてはその通りなのだが、そこには落とし穴もある。

●本当は危険なライブラリ

例えばアンドロイドのアプリにおいては、標準的なSDKだけで開発すると、パフォーマンスが出ない、最新機能を使いたい、既存システムやサービスなどにつなぐ必要がある、といった理由で、C/C++のライブラリを利用することがある。

これは本質的に危険であり利用を避けるべきだという専門家もいる。Marc Schonefeld氏は、Google Play Storeの多数のアプリを検証し、それらに潜む脆弱性について研究している。その中で、100万、1,000万ダウンロードされるようなメジャーなアプリについても、危険なライブラリに由来する脆弱性が残っていると警告する。

Schonefeld氏は、PacSec Tokyo 2017において、自身の調査結果とともに具体的なライブラリ名を挙げながら、古いライブラリ、とくにパッケージに組み込まれてバージョンがわからないようなもの、利用そのものが忘れ去られているものの危険性を指摘した。オープンソースライブラリなどは、管理するベンダーやコミュニティによってアップデートされていくが、アプリにインポートされたライブラリは、適宜のメンテナンスを怠ると「劣化」していくことになる。このリスクは、OWASPでもトップ10に入るものだ。

  1. 1
  2. 2
  3. 続きを読む

《中尾 真二》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. ホームルーター調査、127製品ほぼ全てに脆弱性/英・加、APT29 による攻撃報告 ほか [Scan PREMIUM Monthly Executive Summary]

    ホームルーター調査、127製品ほぼ全てに脆弱性/英・加、APT29 による攻撃報告 ほか [Scan PREMIUM Monthly Executive Summary]

  2. iPhoneに不審なカレンダーなどが表示される報告が相次ぐ(IPA)

    iPhoneに不審なカレンダーなどが表示される報告が相次ぐ(IPA)

  3. やけど虫の駆除方法、体液が皮膚に付いてしまった場合の対策について

    やけど虫の駆除方法、体液が皮膚に付いてしまった場合の対策について

  4. 黒塗り交付の開示資料、強い光で文字が判別可能(和歌山市)

    黒塗り交付の開示資料、強い光で文字が判別可能(和歌山市)

  5. 夏休みのセキュリティ注意喚起、今年はテレワーク勤務者の注意事項も紹介(IPA)

    夏休みのセキュリティ注意喚起、今年はテレワーク勤務者の注意事項も紹介(IPA)

  6. いつもと違う夏 ~ FFRI 鵜飼裕司の Black Hat USA 2020 注目セッション

    いつもと違う夏 ~ FFRI 鵜飼裕司の Black Hat USA 2020 注目セッション

  7. COVID-19脅威レポートを発表、クラウドサービスを標的とした外部脅威が630%増加(マカフィー)

    COVID-19脅威レポートを発表、クラウドサービスを標的とした外部脅威が630%増加(マカフィー)

  8. サイバー犯罪の検挙件数、2019年は9,542件に(警察庁)

    サイバー犯罪の検挙件数、2019年は9,542件に(警察庁)

  9. テレワーク実施実態調査:都道府県別・業界別・職種別

    テレワーク実施実態調査:都道府県別・業界別・職種別

  10. 脆弱性「Ripple20」の対象プリンタ名公開、操作停止やメモリ破壊を引き起こす可能性(リコー)

    脆弱性「Ripple20」の対象プリンタ名公開、操作停止やメモリ破壊を引き起こす可能性(リコー)

ランキングをもっと見る