Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Apache Cordova」に複数の脆弱性 - 作成したAndroidアプリに影響

オープンソースで提供されているモバイルアプリの開発用フレームワーク「Apache Cordova」にアクセス制御が正しく機能しない脆弱性が見つかった。

脆弱性情報のポータルサイトであるJVNによれば、「Cordova Android 3.7.2」および以前のバージョンに、作成したアプリにおいて「ホワイトリスト」のアクセス制限が正しく適用されない脆弱性「CVE-2015-5256」が存在するという。開発グループによる深刻度のレーティングは「中」。

開発されたAndroidアプリに対し、細工されたURLを用いることで、ホワイトリストによるアクセス制限を回避することが可能となり、ホワイトリスト以外のJavaScriptを実行してしまうおそれがある。

今回の脆弱性は、ソニーデジタルネットワークアプリケーションズ(SDNA)の西村宗晃氏が情報処理推進機構(IPA)へ報告。JPCERTコーディネーションセンターが調整を行った。

また「同3.6.4」までのバージョンに「BridgeSecret」のランダム化機能が十分ではない脆弱性「CVE-2015-5257」が存在することも判明している。開発グループによる深刻度は「低」。

これら脆弱性を解消するには、問題を解決した「同4.1.1」以降へアップデートした上で、Androidアプリをリビルドする必要がある。

(Security NEXT - 2015/11/27 ) このエントリーをはてなブックマークに追加

PR

関連記事

MS、ブラウザ「Edge」最新版を公開 - 独自5件含む24件の脆弱性を解消
トレンドマイクロの「パスワードマネージャー」権限昇格の脆弱性
「Firefox 89」をリリース、9件の脆弱性を修正 - iOS版も更新
「Firefox 86」が公開、Cookie対策強化 - 脆弱性12件を修正
「Firefox」にセキュリティ更新 - Android版のみ影響する深刻な脆弱性も
スマホアプリ「ぐるなび」に脆弱性 - 任意サイトへの誘導に悪用されるおそれ
CiscoのWindows向けVPNクライアントに脆弱性 - 更新を
エレコムの旧複数製品に脆弱性 - サポート終了製品の利用中止を
ルータなどで広く利用されるDNSに脆弱性「DNSpooq」が判明
脆弱性に対処した「Thunderbird 78.6.1」をリリース