JVNVU#90369988: 複数の Android アプリに SSL 証明書を適切に検証しない脆弱性

複数の Android アプリには、SSL 証明書を適切に検証しない脆弱性が存在します。

本脆弱性の影響を受けるアプリは多数あります。
テストされたアプリ名、手動による脆弱性の確認結果、CVE 番号、CERT VU 番号、その他の情報は Android apps that fail to validate SSL に記載されています。

複数の Android アプリには、SSL 証明書を適切に検証しない脆弱性が存在します。
CERT/CC では、CERT Tapioca を使用して本脆弱性を調査しました。調査手法の詳細は、CERT/CC blog をご確認ください。
また、本脆弱性については、CERT Oracle Secure Coding Standard for Java の DRD19-J. Properly verify server certificate on SSL/TLS も参照してください。

アプリの動作によって影響は異なりますが、中間者攻撃 (man-in-the-middle attack) によって、HTTPS で保護されるべきネットワークトラフィックを閲覧されたり改ざんされたりする可能性があります。結果として、認証情報を取得されたり任意のコードを実行されたりするなどの可能性があります。

アップデートする
開発者が提供する情報や、Android apps that fail to validate SSL の情報をもとに、最新版へアップデートしてください。

影響を受けるアプリを使用しない
アプリがアクセスするコンテンツには、他の手段でもアクセスできる場合があります。
たとえば、多くのオンラインバンクサービスでは、専用アプリで提供されているものと同等のサービスをウェブブラウザから使用することが可能です。

ワークアラウンドを実施する
次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。

信頼できないネットワークを使用しない

CERT/CC Vulnerability Note VU#582497
Multiple Android applications fail to properly validate SSL certificates
Google スプレッドシート
Android apps that fail to validate SSL
CERT/CC blog
Finding Android SSL Vulnerabilities with CERT Tapioca
The CERT Oracle Secure Coding Standard for Java
DRD19-J. Properly verify server certificate on SSL/TLS
Vulnerability Analysis Tools
CERT Tapioca

2014.09.04における脆弱性分析結果(CVSS Base Metrics)

CVSSとは

評価尺度	評価値			説明
攻撃元区分(AV)	ローカル (L)	隣接 (A)	ネットワーク (N)	隣接ネットワークから攻撃可能
攻撃条件の複雑さ(AC)	高 (H)	中 (M)	低 (L)	攻撃成立に必要な条件はない
攻撃前の認証要否(Au)	複数 (M)	単一 (S)	不要 (N)	認証は不要
機密性への影響(C)	なし (N)	部分的 (P)	全面的 (C)	全ての情報が漏えいする
完全性への影響(I)	なし (N)	部分的 (P)	全面的 (C)	情報の正確さや完全さが全面的に損なわれる
可用性への影響(A)	なし (N)	部分的 (P)	全面的 (C)	システムの使用が全面的に阻害される

Base Score:8.3

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia

2014/09/05: 参考情報の誤植を修正しました。

JVNVU#90369988 複数の Android アプリに SSL 証明書を適切に検証しない脆弱性

JVNVU#90369988
複数の Android アプリに SSL 証明書を適切に検証しない脆弱性