Pixelやサムスン製のAndroidスマホから勝手に写真や通話音声を盗み出せる脆弱性が発見される
by Msporch イスラエルのセキュリティ会社Checkmarxが「GoogleとサムスンのAndroidスマートフォンに、ユーザーに無許可でカメラとマイクを使用できる脆弱(ぜいじゃく)性を発見しました」と発表しました。「CVE-2019-2234」と名付けられたこの脆弱性は、記事作成時点ではGoogleとサムスンにより修正されているとのことですが、両社以外のメーカーのAndroidスマートフォンにも同様の脆弱性が潜んでいる可能性があるとのことです。 Android_Camera_Vulnerability_Report_FINAL_v2_(002).pdf (PDFファイル)https://info.checkmarx.com/hubfs/Reports/Android_Camera_Vulnerability_Report_FINAL_v2_(002).pdf How Attack
Androidの「カメラ」アプリに無断で写真や動画を撮影・送信する脆弱性（修正済み）
米GoogleのAndroidアプリ「Googleカメラ」に、ユーザーが気づかぬうちに動画や写真を撮影し、サーバにアップロードできてしまう不正アプリに悪用できる脆弱性があったと、イスラエルのセキュリティ企業Checkmarxが11月19日（現地時間）、調査結果を添えて発表した。Googleカメラだけでなく、韓国Samsung Electronicsのスマートフォンのカメラや、その他のOEM製Android端末のカメラにも影響するという。 Androidアプリは、アプリが端末のカメラやマイクにアクセスする際はユーザーに明示的に許可を求めるように設計されているが、Checkmarxの調査によると、この制限を簡単に回避できる脆弱性があった。この脆弱性を悪用すれば、ユーザーの許可なくカメラで写真や動画を撮影したり、端末に保存されている写真や動画をサーバにアップロードできる。 また、画像や動画にGP
正規アプリの署名を維持したまま内容を改変できるAndroidの脆弱性「Janus」 | スラド セキュリティ
正規のAndroidアプリの署名を維持したまま内容を改変できるというAndroidの脆弱性「Janus」を発見者のGuardSquareが解説している（GuardSquareブログ、BetaNews、Register）。 Androidのアプリケーションパッケージ（APK）ファイルはZIPファイルであり、ZIPエントリの外側に任意のデータを挿入できる。しかしJAR署名スキームではZIPエントリのみを使用して署名の整合性を確認するため、ZIPエントリの外にデータが挿入されても署名は有効のままとなる。一方、Dalvik実行可能ファイル（DEX）は末尾に任意のデータを追加できる。そのため、DEXファイルの末尾にAPKファイルをつなげて1つのファイルにすることでDEXファイルとしてもAPKファイルとしても有効なファイルとなり、署名も維持される。 AndroidランタイムはAPKファイルからDEXフ
Rowhammer攻撃でandroidのroot奪取に成功 - ごった日記
「Rowhammerによるビット反転によるAndroidのroot奪取が現実のものに」 arstechnica.com Rowhammerは、メモリの特定の領域に連続で繰り返し書き込むことで、隣接セルの内容が書き換えられてしまうという問題で、しばらく前に少し話題になりました。 【後藤弘茂のWeekly海外ニュース】DRAMスケーリングの課題と打開策 - PC Watch Rowhammer問題私的まとめ | @knok blog 今回、この手法が現実的に攻撃に使えることが「androidのrootをとる」ことで実証されたといえます。攻撃対象はメジャーな機種のかなりに及ぶようです（Nexus4/5, LG G4, Moto G, Galaxy S4/S5など）。ただし、今回の攻撃が成功するかは確率の問題があるようです（15台のNexus 5で試した結果、rootがとれたのは12台など）。Ne
Androidのフルディスク暗号化が破られる恐れ、研究者が問題指摘
Qualcommのプロセッサを搭載したAndroid端末のセキュリティ機能「TrustZone」の脆弱性を突いて、フルディスク暗号化が破られる恐れがあるという。 米Qualcommのプロセッサを搭載したAndroid端末のセキュリティ機能「TrustZone」のコード実行の脆弱性を突いてAndroidのフルディスク暗号化を破る方法を発見したとして、セキュリティ研究者がブログで詳細を公表した。 研究者のブログによると、Androidのフルディスク暗号化はAndroid 5.0以降、デフォルトで有効になり、ユーザーの情報が自動的に保護されるようになった。 しかし、Androidで暗号鍵を守るためのモジュール「KeyMaster」では、「ソフトウェアによる抽出が不可能な真のハードウェア鍵が使われておらず、鍵が直接TrustZoneに受け渡されてしまう」と研究者は解説。KeyMaster鍵を抽出す
Android端末の97%にルート化される恐れがある脆弱性 - トレンドマイクロ
トレンドマイクロは4月5日、Android端末の97%にルート化の恐れがあるとして注意喚起を行った。 この問題は、Linuxカーネルにおける脆弱性「CVE-2015-1805」に起因するもので、2014年4月に修正、2015年2月に危険度評価「中」としてCVE識別番号が割り当てられていた。しかし、今年2月に脆弱性を突くエクスプロイトコードが確認され、現在も攻撃できることが判明。Googleは3月にAndroidの更新プログラムを公開した。なおGoogleは、問題の脆弱性を悪用するルート化アプリの削除対応を行っている。 「CVE-2015-1805」はLinuxカーネルバージョン3.18未満のすべてのOSに影響する。Android OSは現時点で最新版の「6.0 Marshmallow」のみがカーネルバージョン3.18を利用しており、それ以前の全バージョンが3.18未満のカーネルを利用してい
OSがAndroid端末の脆弱性対応状況を表にしたら絶望的だった
グーグルは２００８年に最初のバージョンを公開して以降、次々と機能強化と脆弱性の修正をはかってきた。最新ＯＳは昨年１０月公開の６・０。だが、３社の機種の７７％は４・４以前の古いＯＳのままだ。 ＯＳ更新、サポート後手 引用元の記事にもあるとおり、Android端末はiPhoneのiOSように開発・製造・販売が一貫しておらず、各端末に独自機能が追加されることが多いため最新バージョンにアップデートできる端末が少ない。 修理対応期間中の機種でバージョンごとの機種数は以下の表のようになっている。ピンクの部分はWebViewの脆弱性に未対応のバージョン。(4.4以前) 時期 バージョン ドコモ KDDI ソフトバンク
Google、Android向けパッチを開発、Linuxの未解決の脆弱性に対応
Googleの担当者は「影響を受けるAndroidデバイスは当初の報告よりもずっと少ないはず」との見方を示す。 Linuxカーネルに未解決の脆弱性が発見された問題で、米GoogleのAndroidセキュリティチームは1月21日、この問題を修正するAndroid向けパッチの準備が整ったと発表した。 脆弱性はLinuxカーネルでセキュリティデータや認証鍵、暗号鍵といったデータの保持やキャッシュに使われる「キーリング」に存在していて、悪用されればローカルユーザーにroot特権を取得されたりコードを実行されたりする可能性が指摘されている。 Googleはこの問題の発覚を受けてAndroid向けのパッチを開発し、オープンソースに公開するとともに、パートナー各社にも提供した。2016年3月1日以降のセキュリティパッチレベルで全端末への配信を必須としている。 脆弱性を発見したイスラエルのセキュリティ企業
Linuxカーネルに脆弱性 PCやサーバ、Androidの大多数に影響
Linuxカーネルに2012年から存在していた脆弱性をセキュリティ企業が発見。Linux搭載のPCやサーバ数千万台と、Androidデバイスの66％が影響を受けるという。 イスラエルのセキュリティ企業Perception Pointは、Linuxカーネルに2012年から存在していた深刻な脆弱性を発見したと発表した。Linux搭載のPCやサーバ数千万台と、Androidデバイスの66％が影響を受けるとしている。 Perception Pointのブログによると、脆弱性はセキュリティデータや認証鍵、暗号鍵といったデータの保持やキャッシュに使われる「キーリング」において、現行セッションのキーリングを置き換えるプロセスに存在する。 悪用された場合、ローカルユーザーにroot特権を取得されたり、コードを実行されたりする恐れがある。 この脆弱性はLinuxカーネル3.8以降のバージョンに存在していると
Androidのコンポーネント「Mediaserver」に存在する新たな脆弱性を確認 | トレンドマイクロ セキュリティブログ
トレンドマイクロは、Android端末の標準コンポーネント「Mediaserver」に存在する脆弱性を新たに確認しました。この脆弱性を利用することにより、攻撃者は、Mediaserver プログラムが標準として備えるパーミッションと同等のパーミッションで任意のコードを実行することが可能になります。 今回の脆弱性「CVE-2015-3842」は、Android のバージョン2.3 から 5.1.1 に影響を与えます。Googleは、「Android Open Source Project (AOSP)」を通じて、この脆弱性に関する詳細な情報と修正プログラムを公開しました。なお、2015年8月17日時点、この脆弱性を利用した実際の攻撃は確認されていません。 この脆弱性が確認される直前にも、Android の Mediaserver コンポーネントに存在する深刻な脆弱性が複数確認されています。「
Androidに存在する2つの脆弱性を新たに確認。不正請求の恐れ | トレンドマイクロ セキュリティブログ
Android に存在する 2つの脆弱性が新たに確認されました。これらの脆弱性が利用されると、携帯電話やタブレットの特定のメッセージ機能がクラッシュしたり、悪用される可能性があります。1つ目の脆弱性「CVE-2015-3839」を利用すると、攻撃者は不正なメッセージをメッセージアプリに挿入することが可能になります。その結果、アプリがクラッシュし、ユーザはメッセージの送受信ができなくなる恐れがあります。もう 1つの脆弱性「CVE-2015-3840」は、「ショート・メッセージ・サービス（SMS）」や「マルチメディア・メッセージング・サービス（Multimedia Messaging Service、MMS）」の送受信のステータスを改ざんする恐れがあります。結果として、ユーザは不正請求を受ける可能性があります。 2015年7月に確認された「Stagefright」や Android の標準コン
95％ものAndroidがTwitterのリンクをクリックするだけ・動画再生するだけで乗っ取られる「Stagefright」攻撃への対応が始まる
by Maria Elena 95％のAndroid端末にある乗っ取りを受ける脆弱性について、乗っ取りはMMS(マルチメディアメッセージングサービス)の受信・開封だけではなく、「Twitterのリンクをクリック」「動画再生をする」でも起きえることを実証するムービーをトレンドマイクロが公開しています。 MMS Not the Only Attack Vector for “Stagefright” http://blog.trendmicro.com/trendlabs-security-intelligence/mms-not-the-only-attack-vector-for-stagefright/ Attack From Local App - YouTube この映像はAndroid端末にインストールしたアプリからでも脆弱性を利用できることの概念実証。 Simple Media
Android端末に存在する新たな脆弱性を確認、端末を無限に起動させる恐れ | トレンドマイクロ セキュリティブログ
トレンドマイクロは、Android端末の標準コンポーネント「Mediaserver」に存在する新たな脆弱性を確認しました。この脆弱性を利用することにより、攻撃者は「サービス拒否（DoS）攻撃」を実行することが可能になります。そのため、端末のシステムが再起動し、バッテリーが消耗します。より深刻なケースでは、不正なアプリが自動起動するように設定され、端末は無限ループになり、使用できなくなる可能性があります。 この問題の脆弱性「CVE-2015-3823」は、Android 4.0.1（Jelly Bean）から 5.1.1（Lollipop）までのバージョンに影響します。これはつまり、Androidユーザの約 89%（2015年6月時点）が影響を受けることになります。なお、弊社では、この脆弱性を利用した実際の攻撃をまだ確認していません。 Android の標準コンポーネント「Mediaserv
Android端末の94%に影響する脆弱性「Stagefright」、MMS以外でも攻撃可能 | トレンドマイクロ セキュリティブログ
ホーム » モバイル » Android端末の94%に影響する脆弱性「Stagefright」、MMS以外でも攻撃可能 セキュリティ企業「Zimperium zLabs」は、2015年7月下旬、Android端末に存在する脆弱性を確認しました。「Stagefright」として知られるこの脆弱性を利用することにより、攻撃者は「マルチメディア・メッセージング・サービス（Multimedia Messaging Service、MMS）」を介して不正プログラムを携帯端末にインストールすることが可能です。この脆弱性を利用した攻撃は実行可能性が高いため、大きな注目を集めました。 この脆弱性の影響を受けるのは、Android のバージョン 4.0.1 から5.1.1 です。これは現在使用されている全Android端末の 94.1% に相当します。 トレンドマイクロも、独自にこの脆弱性を
Androidがハッキングされて遠隔操作された - なんとな～くしあわせ？の日記
表題通り、かなりびっくりしたので記録を残しておく Androidがおかしな挙動をする 一度目の怪現象 （１）chromeが勝手に操作される ７月３１日（金）９時ごろ、ウォーキング中にchromeが勝手に起動して以下のような履歴が残る （２）LINEで勝手にメッセージが送られる 以下のTwitter診断サイトのURLが私の友達５人にトークで送られていた。 なお返信はなかったもよう。 あなたをフォローしているクラスタTOP10 その時の状況 ・Runkeeperというアプリで位置情報を送りながら/Androidのスマホを電源つけたまま歩いていた 対応 ・ついにGoogleのID/Passがどこかから漏れたかなと思い、とりあえずアカウントの情報を変更した 攻撃者の見ていたサイト ・Travis ・毛の壁のサイト（なぜ？） ・Yahooにログイン試行 ・Qiita ・veohでアニメ（名前忘れた）
実は Androidスマホ を使うっていう事はセキュリティ的に最悪なのかもしれない
Android 2.2以降が対象となる(Android OSを使っている95%の機器が該当する)最大級の脆弱性が見つかったとか。でも盛大にカスタマイズされているAndroidスマホに対してメーカーやキャリアはどれくらい対応できるのか考えると怖くなる。 Androidに極めて深刻な脆弱性、MMSで端末制御可能に ただ記事をよく読むと、 「Android搭載端末の電話番号さえ分かれば、不正なMMSメッセージを送り付けて被害者が知らないうちに端末を制御できてしまう」 とある。と言う事は、 MMS使えなければこの攻撃は使えなくね？ 日本では #MMS は馴染みがない。 Multimedia Message Serviceの略でSMSが普及した後にTEXT以外の主に写真を添付したい要望から生まれたメッセージ(メール)規格なんだけど、日本では既にiモードメールというInternetメールと相互変換可能
Android版ChromeとAppleのSafariにアドレスバー偽装の脆弱性
Chromeの脆弱性は修正されたが、Safariではまだ未解決のまま。コンセプト実証ページも公開されている。 米GoogleのAndroidに搭載されているWebブラウザ「Chrome」と、米AppleのWebブラウザ「Safari」に、アドレスバー偽装の脆弱性が報告された。Chromeの脆弱性は修正されたが、Safariではまだ未解決のままで、コンセプト実証ページも公開されている。 セキュリティ企業のRapid7によると、Android向けChromeの脆弱性は、「204エラー」（コンテンツなし）と新しいウィンドウを開く「window.open」のイベントを組み合わせた際の処理問題に起因する。 この問題を突いてアドレスバーを偽装された場合、フィッシング詐欺でユーザーがだまされ、攻撃者の制御する信頼できないWebページにパスワードや個人情報などを入力してしまう恐れがある。 この問題はセキュ
なぜモバイル向けマルウェアの98%はAndroidをターゲットとしているのか
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 本連載でモバイルデバイスへの攻撃について取り上げた際に、多くの攻撃がAndroidデバイスをターゲットにしていることを挙げました。今回は、Androidデバイスに対する悪意の攻撃について焦点をあてて説明します。 なぜAndroidが狙われるのか 筆者が所属するパロアルトネットワークスでは世界中の検体を調査し、全体の98%にあたる大半のモバイルマルウェアはAndroid向けであることを確認しています。iOS向けは約0.5％でしたが、ほとんどがジェイルブレイク (脱獄) が行われたデバイスを対象としたマルウェアです。AndroidとiOSでこれほどマルウェアの数に差があるのはなぜでしょうか。 Androidへの攻撃が多い理由について、市場シ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
108の脆弱性を修正、Androidの月例セキュリティ情報公開 
TechCrunch
