「Apache Cordova」に複数の脆弱性 - 作成したAndroidアプリに影響
オープンソースで提供されているモバイルアプリの開発用フレームワーク「Apache Cordova」にアクセス制御が正しく機能しない脆弱性が見つかった。
脆弱性情報のポータルサイトであるJVNによれば、「Cordova Android 3.7.2」および以前のバージョンに、作成したアプリにおいて「ホワイトリスト」のアクセス制限が正しく適用されない脆弱性「CVE-2015-5256」が存在するという。開発グループによる深刻度のレーティングは「中」。
開発されたAndroidアプリに対し、細工されたURLを用いることで、ホワイトリストによるアクセス制限を回避することが可能となり、ホワイトリスト以外のJavaScriptを実行してしまうおそれがある。
今回の脆弱性は、ソニーデジタルネットワークアプリケーションズ(SDNA)の西村宗晃氏が情報処理推進機構(IPA)へ報告。JPCERTコーディネーションセンターが調整を行った。
また「同3.6.4」までのバージョンに「BridgeSecret」のランダム化機能が十分ではない脆弱性「CVE-2015-5257」が存在することも判明している。開発グループによる深刻度は「低」。
これら脆弱性を解消するには、問題を解決した「同4.1.1」以降へアップデートした上で、Androidアプリをリビルドする必要がある。
(Security NEXT - 2015/11/27 )
ツイート
関連リンク
PR
関連記事
MS、ブラウザ「Edge」の脆弱性を修正 - Android版は更新版を準備中
QNAP、アドバイザリ4件を公開 - 「QTS」の深刻な脆弱性など解消
「Google Pixel」や「SureLine OS」の脆弱性悪用に注意喚起 - 米当局
「Microsoft Edge」にセキュリティアップデート - 脆弱性3件を修正
Android版「メルカリ」アプリに脆弱性 - アップデートの実施を
VMwareのAndroid端末管理製品に脆弱性 - アップデートを提供
米当局、Qualcomm製チップやApple製品の脆弱性狙う攻撃に注意喚起
米当局、「ownCloud」など脆弱性2件の悪用に注意喚起
Intel、セキュリティアドバイザリ31件を公開 - 重要度「クリティカル」も
「Firefox」や「Thunderbird」にアップデート - 深刻な脆弱性を修正