Apache Cordova Plugin cameraに情報漏えいの脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は12月7日、Apache Cordova Plugin camera における情報漏えいの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

脆弱性と脅威セキュリティホール・脆弱性

2020.12.9 Wed 8:05

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は12月7日、Apache Cordova Plugin camera における情報漏えいの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。株式会社セゾン情報システムズの松村章宏氏が報告を行っている。影響を受けるシステムは以下の通り。

Apache Cordova Plugin camera 5.0.0 より前のバージョン

Apache Cordova Plugin cameraは、Apache Cordovaアプリ向けに写真撮影や画像ライブラリからの選択操作などに関するAPIを提供するプラグインで、Androidアプリに組み込まれて使用される場合、当該デバイスに外部ストレージが存在していると画像ファイルのキャッシュとして使用されるため、READ_EXTERNAL_STORAGEやRITE_EXTERNAL_STORAGEパーミッションが許可されているアプリケーションからはこれらのキャッシュファイルにアクセス可能となる（CWE-200）。

想定される影響としては、当該プラグインを組み込んでいるアプリケーションを外部ストレージを持っているAndroidデバイスにインストールしている場合、写真を撮影したときの画像ファイルは外部ストレージにキャッシュされるため、悪意を持ったアプリケーションからアクセスされる可能性がある。

JVNでは、Cordova Plugin cameraを使用してAndroidアプリケーションを作成している開発者に対し、当該プラグインのバージョン5.0.0あるいはそれ以降を使うようアプリケーションを更新するよう呼びかけている。

《ScanNetSecurity》