Androidの脆弱性「Certifi-gate」を悪用するアプリがPlayストアで公開されていた

2015年8月30日 18:03

印刷

記事提供元:スラド

先日話題になったAndroidの脆弱性「Certifi-gate」を悪用するアプリがPlayストアで公開されていたそうだ。アプリ自体は無害とみられるが、他のマルウェアがアプリの機能を悪用する可能性があるという(Check Pointのブログ記事Ars Technicaの記事)。

Certifi-gateはサードパーティーベンダーのモバイルリモートサポートツール(mRST)アプリに存在する脆弱性。mRSTアプリはアプリ本体とプラグインという2つのコンポーネントで構成される。プラグインには特権アクセスを可能にするためOEMが署名しており、標準の権限で実行されるアプリはAndroidでのプロセス間通信機能を提供するBinderを通じてプラグインにデータを送信し、特権の必要な処理を行う。Androidにはデータの送信元アプリを確認する手段が用意されていないため、不正なアクセスを受け付けないようにする技術をベンダーが独自に開発する必要があるのだが、この部分で送信元アプリの確認が正しく行われないのがCertifi-gateの脆弱性だ。

Certifi-gateの脆弱性は複数のベンダー製mRSTに存在するが、今回確認されたのはTeamViewer QuickSupportの脆弱性を悪用するAndroidの画面録画アプリのサブコンポーネント「Recordable Activator」だ。TeamViewerは既に修正版をパートナー企業に配布しているが、Recordable Activatorは未修正のTeamViewerプラグインをサードパーティーのアプリストアからダウンロードしてインストールする。Recordable ActivatorはTeamViewerのプラグインをラップして録画アプリ本体からアクセスできるようにするのだが、Recordable Activatorには任意のアプリから接続できてしまうため、マルウェアが悪用して画面の表示内容にアクセスする可能性があるとのこと。

(続く...)
Recordable Activatorはアプリ本体とは別に配布されており、録画アプリ本体「EASY screen recorder NO ROOT(簡単スクリーンレコーダー)」および「FREE screen recorder NO ROOT(ROOTなしで 無料でスクリーンレコーダー)」は1年以上前からPlayストアで公開されている。もともとUSB接続したパソコンから画面へのアクセスを有効化する仕組みだったのが、最近になってRecordable Activatorを使用する方法が追加されたようだ。GoogleではRecordable ActivatorをPlayストアから削除しているが、録画アプリ自体は引き続き公開されている。

なお、Check PointではCertifi-gate脆弱性を確認する「Certifi-gate Scanner」をPlayストアで公開しており、情報提供に同意したユーザーから匿名で送信されたスキャン結果をまとめている。

スキャン結果が提供された端末はSamsungが半数近い49.12%を占め、以下Sony(9.65%)、Nexus(8.05%)、LG(7.87%)、HTC(4.92%)の順。これらのうちCertifi-gate脆弱性のない端末は42.06%で、半数以上に脆弱性が確認されている。ただし、42.09%はCertifi-gate脆弱性自体は存在するが、脆弱性のあるプラグインがインストールされていないというもので、脆弱性のあるプラグインがインストールされていたのは15.84%。すでに脆弱性が悪用されている端末も3台(0.01%)確認されているという。

脆弱性のあるプラグインがインストールされている比率が最も高いのはLG(72.36%)で、Samsung(18.48%)、HTC(9.43%)が続く。一方、脆弱性の存在する比率ではHTCが95.04%と最も高く、Sonyでも1%以上に脆弱性が存在するようだ。 スラドのコメントを読む | セキュリティセクション | Google | セキュリティ | ソフトウェア | バグ | Android

 関連ストーリー:
携帯電話の脆弱性にもリコール制度が必要? 2015年08月23日
AndroidのMediaServerで任意のコード実行が可能となる新たな脆弱性 2015年08月21日
Androidで新たな脆弱性が多数発見される 2015年08月13日
Androidデバイスが操作不能になる脆弱性、半数以上の端末に影響 2015年08月01日
Androidでビデオメッセージを受信するだけでデバイスが乗っ取られる脆弱性が確認される 2015年07月28日
Android端末「Galaxy」のキーボードアプリに脆弱性、6億台に影響か 2015年06月22日
GoogleはAndroidの更新に関する問題をいつまで放置し続けるのか 2015年05月10日
Android 4.0向けGoogle Chrome、サポート終了へ 2015年03月06日
Google、Android 4.3のWebViewに対する脆弱性修正を行わなかった理由について説明 2015年01月28日
Google、古いAndroidのサポート終了か 9億台で脆弱性放置の恐れ 2015年01月14日
Androidに未許可のアプリでも発話や通話中断ができてしまうという脆弱性が発見される 2014年07月08日
米当局、Android旧バージョンのセキュリティを懸念 2013年08月30日
Androidの「マスターキー」セキュリティー欠陥チェックツールが公開される 2013年07月13日
セキュリティ企業曰く「Androidアプリの99%に脆弱性がある」 2013年07月08日

※この記事はスラドから提供を受けて配信しています。

関連記事