Android向けファームウェアに深刻な脆弱性、米機関は「もはやrootkit」と断言
脆弱性はOTAによるアップデート時に暗号化通信が行われないというものだが、実行を隠す複数の方法が使用され、CERT/CCは「挙動はもはやrootkitだ」と指摘している。 米カーネギーメロン大学のCERT/CCは11月17日、中国企業のRagentek Technology製ファームウェアを採用するAndroid端末に深刻な脆弱性が見つかったとして、情報を公開した。 脆弱性は、無線経由でファームウェアをアップデート（Over The Air＝OTA）する際に暗号化通信が行われないというもの。中間者攻撃の手法によってリモートの第三者がroot権限で任意のコードを実行できるという。共通脆弱性評価システム（CVSS）による危険度は、CVSSバージョン2で「9.3」、同バージョン3で「8.1」（最大値は両バージョンとも10.0）と高い。 CERT/CCによれば、脆弱性のあるアップデートのプログラム
Androidに極めて深刻な脆弱性、MMSで端末制御可能に
Googleは修正のためのパッチをメーカーやキャリア向けに提供済みだが、ユーザーへの配信は各社に任されている。 Android搭載端末の電話番号さえ分かれば、不正なMMSメッセージを送り付けて被害者が知らないうちに端末を制御できてしまうという極めて深刻な脆弱性が報告された。Googleは修正のためのパッチをメーカーやキャリア向けに提供済みだが、ユーザーへの配信は各社に任されている。 この脆弱性は、モバイルセキュリティを手掛けるZimperiumの研究者ジョシュア・ドレイク氏が発見した。Androidにネイティブで搭載されているメディア再生エンジン「Stagefright」に脆弱性があり、攻撃者が細工を施したMMSメッセージを送り付けるだけで、セキュリティ対策のサンドボックスをかわしてリモートでコードを実行できてしまう恐れがあるという。 問題のメッセージをユーザーが開いたり、リンクをクリック
Google、古いAndroid向けWebViewパッチ打ち切りについて説明
米GoogleでAndroidセキュリティ担当リードエンジニアを務めるエイドリアン・ラドウィッグ氏は1月24日（現地時間）、旧バージョンのAndroidについて、同社が脆弱性を修正するパッチの提供を打ち切ったという情報について説明した。この情報は12日、Rapid7の研究者であるトッド・ビアズリー氏がブログで伝えたものだ。 ビアズリー氏は、Googleに4.4よりも前のバージョンのWebViewの脆弱性を報告したところ、Googleのインシデント対応担当者からメールで「もし影響を受けるのが4.4（コードネーム：KitKat）よりも前のバージョンであれば、我々は一般的に、自らパッチを開発しない。4.4より前のバージョンに影響する報告で、パッチを伴わないものについては、OEMに通知する以外の対応はできない」という返事を受けたという。 Google自身が公開している統計によると、1月5日の時点で
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
Androidの脆弱性（まとめ版）
JVN#53768697 Android OS において任意の Java のメソッドが実行される脆弱性 について見つけたいきさつを記事にしました。 こちらは長いので、ざっくりバッサリ、なるべく簡潔に、何ができちゃうのか・何がヤバいのかをまとめます。 【原因】 WebViewの addJavascriptInterface()の危険性（参考）が、Android 3.x／4.0／4.1 ではWebViewそのものに存在する。 このためWebViewをそのまま使っているアプリや、WebViewのラッパにすぎない標準ブラウザに同様の脆弱性がある。（Android版ChromeはWebViewを使っていないので問題ないです） 【何ができてしまうか】 JVNに書かれている通り Android 標準ブラウザや WebView クラスを利用しているアプリで、細工されたウェブページを閲覧した際に、ユーザの意
「ONETOPIヘッドライン」アプリの脆弱性を検査してみた
「ONETOPIヘッドライン」アプリの脆弱性を検査してみた：実録、Androidアプリの脆弱性を撲滅せよ！（前編）（1/2 ページ） ソニーデジタルネットワークアプリケーションズ（SDNA）製の脆弱性検査ツール「Secure Coding Checker」を用いてITmediaが開発したAndroidアプリ「ONETOPI ヘッドライン」を実際に検査し、どんな脆弱性が見つかりどう修正したかを「実録」風にお届けします。 「張り切って開発したAndroidアプリの公開後に脆弱性が指摘されてしまった。いったいどう修正すればいいのだろうか」「概念として、『安全なアプリ』がいいことは百も承知だが、具体的にどうコードに落とし込んでいけばいいのだろうか」――こんな悩みを抱えているAndroidアプリの開発者は、少なくないのではないでしょうか。 本記事では、そうした悩みを解決する手助けとなるツールと手法を
secroidの判定に関するあれこれ
Androidアプリの潜在リスクチェックを行うWebサイトsecroid(セキュロイド)の判定についていろいろ盛り上がっているのでとりあえず関連ツイートを抜き出しておきますよ。
Android向け人気アプリの多くで情報流出の恐れ、SSLの不適切な実装問題を研究者が指摘
Google Playからダウンロードした人気無料アプリ1万3500本のうち、8％に当たる1074本に、中間者攻撃に対して潜在的に脆弱なSSL/TLSコードが含まれていることが分かった。 米Googleの公式アプリ販売サービス「Google Play」で配布されている無害なAndroidアプリの多くに、SSL/TLSの不適切な実装に起因する潜在的なセキュリティ問題があることが分かったとして、ドイツの研究チームが論文を公開した。この問題を悪用した中間者攻撃により、個人情報などが流出する恐れもあるとしている。 論文を公開したのはドイツのライプニッツ大学とマールブルク大学の研究チーム。Google Playから人気無料アプリ1万3500本をダウンロードして、SSL/TLSプロトコルの利用状況を分析した。 特に、SSLの不適切な実装に起因する中間者攻撃の脆弱性を検出するツール「MalloDroid
IPAからAndroidアプリの脆弱性に関するレポート出ました
「Androidアプリを作っている（作ってもらっている）けど、脆弱性が心配」という声はtwitterでも目にすることがあります。そして、「『安全なウェブサイトの作り方のAndroidアプリ版』があったらいいのに」という希望を目にしたこともあります。 6月13日にIPAから公表された「IPA テクニカルウォッチ『Androidアプリの脆弱性』に関するレポート」は、この『安全なウェブサイトの作り方のAndroidアプリ版』に相当する位置づけのドキュメントです。なぜそう思うかというと、以下の性格が『安全なウェブサイトの作り方』と共通するからです。 Androidアプリの基本的な問題に絞っている 届出の多い脆弱性にフォーカスしている 以下、もう少し詳しく紹介します。 Androidアプリの脆弱性とは何か 同レポートでは、Androidアプリの脆弱性を以下のように定義しています（同書P3）。 ■ 「
個人情報漏れすぎ,[hack] TSUNAKAN hack - luminのコードメモ
またまた来ました大変なことをしてくれるAndroidアプリ。 ヘンなアプリに要注意！ データぶっこ抜きアプリか？Google playに不審なアプリが出回る - ライブドアニュース ITライフハック なんとか The Movieという名前がつくのが今回のアプリの特徴です。内容はそのアプリを動かした動画が見られます。 結果から言いますと、このアプリは、アプリを実行した電話の電話番号とAndroid_ID 自分の名前、電話帳に登録してある人すべての名前とメールアドレスをこの人のサーバにアップロードしてしまいます。 これらのアプリの総ダウンロード数GooglePlayの表示を足すと、66,600〜271,500。ダウンロードした人たちの連絡先に平均50人入っているとして、3,330,000〜13,575,000人という、とてつもない人数の個人情報が集まっているのではないかということです。 パケッ
![個人情報漏れすぎ,[hack] TSUNAKAN hack - luminのコードメモ](https://cdn-ak-scissors.b.st-hatena.com/image/square/9688324e42954d9cebf9276ec3f66bb80887b494/height=288;version=1;width=512/https%3A%2F%2Fcdn-ak.f.st-hatena.com%2Fimages%2Ffotolife%2Fl%2Flumin%2F20120412%2F20120412222936.png)
【ABC 2012 Spring】高木浩光氏が講演 - 「スマホアプリの利用者情報送信における同意確認のあり方」について (1) オプトイン・オプトアウトの線引きについて | Android(アンドロイド)情報の総合�
3月24日に東京大学 本郷キャンパスで開催された「Android Bazaar and Conference 2012 Spring」において、産業技術総合研究所情報セキュリティ研究センターの高木浩光氏が「スマホアプリの利用者情報送信における同意確認のあり方」と題した講演を行い、スマートフォンのアプリがどのように情報収集の同意を行うべきかを説明した。 オプトインとオプトアウトの線引き 今回の講演は、3月8日に総務省で開催された「スマートフォンを経由した利用者情報の取扱いに関するワーキンググループ(WG)」の第3回におけるヒアリングを拡大したもの。高木氏はまず、講演の前提として、2009年から開催された「ライフログ活用サービスWG」の第2次提言(10年5月)が、行動ターゲティング広告に関して業界のガイドライン策定を促していた点を説明。こうした取り組みに対して、昨年来、「カレログやミログのAp
難読化していないAndroidアプリケーションは脆弱性か
このエントリでは、Androidアプリケーションにおいて、難読化が施されていない場合、脆弱性にあたるかについて議論します。 はじめに Androidアプリケーションは主にJava言語で記述され、DEX形式のファイルにコンパイルされたコードを、DalvikというJava互換VM上で実行します。DEXおよびAPKファイルの仕様は公開されており、DEXにはクラスやメソッド等のシンボル名も含まれているため、リバースエンジニアリングが容易であると言われています。このため、Android SDKには標準でProGuardという難読化ツールが添付されています。 それでは、難読化の目的はそもそも何で、難読化でその目的は達成されるのでしょうか。 難読化の目的 Webアプリケーションの場合は、重要なロジックは主にサーバー側に存在するため、ソースコードを外部から取得することはできません。これに対して、スマートフ
書籍「Android Security」の暗号鍵生成方法には課題がある - ockeghem's blog
書籍「Android Security 安全なアプリケーションを作成するために」は既に各方面で絶賛されているように、Androidアプリケーションの開発者には必携の書籍だと思いますが、新しい分野だけに、首をひねらざるを得ない箇所もありました。このエントリでは、同書第10章「暗号化手法」から共通鍵の生成方法について議論します。 はじめに 書籍「Android Security」（業界では「タオ本」と呼ばれているので、以下タオ本と記述）の10章では、端末内のファイルを暗号化して保存する手法について説明されています。その際に問題となるのが、鍵の生成と保管の方法です。スマートフォン端末、とくにAndroid端末は、アプリケーションのリバースエンジニアリングとルート化の可能性は常にあるため、あらゆる場合にも破られない暗号化というものはありません。このため、守るべき情報資産と、想定する脅威（言い換え
Google、マルウエアスキャン機能「Bouncer」をAndroid Marketに導入
Androidアプリケーションのインストール時に表示される警告。左がGoogle Map、右がGmailの場合 米Googleは現地時間2012年2月2日、同社のモバイルプラットフォーム「Android」のセキュリティ対策として、Android向けアプリケーション配信／販売サービス「Android Market」にマルウエアスキャン機能「Bouncer」（開発コード名）を導入すると発表した。 Bouncerは、Android Marketにすでに登録されているアプリケーション、新規に登録されるアプリケーション、開発者アカウントに対して自動スキャンを行う。アプリケーションがアップロードされると既知のマルウエアが埋め込まれていないか分析するほか、疑わしい振る舞いを検出して過去に分析したアプリケーションと比較する。また、すべてのアプリケーションをGoogleのクラウドインフラ上で動作させ、And
Android アプリ「AppNetBlocker」を公開しました : DSAS開発者の部屋
（2015年5月追記） この記事に掲載の「AppNetBlocker」は Android 5.0 以降の環境では正しく動作しません。記録としてアプリ本体へのリンクは当面残しますが、コメント欄に何度か記載の通りこのアプリケーションの開発はすでに終了しており、今後改訂を行う予定はありません。ご了承下さい。 以前から自分自身がほしいと思っていた Android アプリが形になったためマーケットで公開しました。 今回はそのアプリ、「AppNetBlocker」をご紹介します。 AppNetBlocker は、所定のアプリから「完全なインターネットアクセス」の許可を除去するツールです。実行に root 権限は必要ありません。Android 1.6 以上の環境で動作します。興味のある方はご利用下さい。もちろん無料です。 （2011/12/26 追記） 本アプリは、現時点では安全面において不安要素の少な
jp.co.sharp.android.lifelog.database.LifeLogServiceは何をしているのか？
goroh_kun @goroh_kun LifeLogのAndroidManifestのダンプ http://t.co/M6pkMoqy さまざまなパーミッションを要求している。 apkの署名をみるとSharpのものであることが分かる。 2011-12-05 13:07:13 goroh_kun @goroh_kun LifeLogのAndroidManifest.xmlによると、jp.co.sharp.android.lifelog.permission.USER_LL_DATABASEというパーミッションを持っているユーザーがこのサービスに対して要求を出すことが可能。 2011-12-05 13:07:44 goroh_kun @goroh_kun LifeLogのAndroidManifestないではUSER_LL_DATABASEは定義されていないことから、別の場所で定義されてい
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
070900526
dfltweb1.onamae.com – このドメインはお名前.comで取得されています。
dfltweb1.onamae.com – このドメインはお名前.comで取得されています。
[PDF]スマートフォンからの利用者情報の送信. ～情報収集の実態調査～. KDDI研究所. 竹森敬祐