Androidにまた深刻な脆弱性が発覚、端末を制御される恐れ

脆弱性を悪用された場合、「何の権限もない悪質アプリが『スーパーアプリ』と化し、端末を制御される恐れがある」という。

[鈴木聖子，ITmedia]

　米IBMのセキュリティ研究部門X-Forceの研究者が8月10日、Android端末の55％以上に存在する深刻な脆弱性を発見したと発表した。「先端の攻撃者にこの任意のコード実行の脆弱性を利用されれば、何の権限もない悪質アプリが『スーパーアプリ』と化し、端末を制御される恐れがある」と解説している。

X-Forceの研究者が発表

　この脆弱性に加えて、複数のサードパーティー製Androidソフトウェア開発キット（SDK）の脆弱性も報告。攻撃者によるアプリの制御に利用される恐れがあるとした。

　研究チームによれば、Androidの脆弱性は、例えばネットワークへの接続やカメラの利用といった機能をアプリに実装するための「OpenSSLX509Certificate」に存在する。

　悪用された場合、被害者の端末にインストールさせた悪質アプリを使って、端末上のアプリやサービスで任意のコードを実行される恐れがある。攻撃者がその気になれば、悪質アプリはセキュリティ意識が高いユーザーの目をごまかすこともできてしまうという。

　この手口を使って正規のFacebookアプリを「Fakebook」という不正アプリに置き換え、センシティブなデータを盗み出せる状態にしてしまうデモ映像も公開している。

動画が取得できませんでした

デモ映像

　影響を受けるのはAndroid 4.3〜5.1（Jelly Bean、KitKat、Lollipop）と開発者向けプレビュー版の「M Preview 1」。Googleは脆弱性を修正するため、Android 5.1／5.0／4.4およびAndroid M向けのパッチを開発済みだという。また、SDKのベンダー各社からもパッチが提供されている。現時点でこれら脆弱性を突く攻撃は出回っていないと研究チームは伝えている。

Androidのバージョン別シェア（2015年7月時点）