スマホ向け仮想試着アプリに脆弱性 - 通信が盗聴されるおそれ

東芝が提供するスマートフォン向けアプリ「Coordinate Plus」に、SSLサーバ証明書を正しく検証しない脆弱性が含まれていることがわかった。修正版がリリースされている。

同アプリは、スマートフォンなどのモバイル端末上で、衣服を仮想的に試着し、コーディネートを確認できるもので、AndroidおよびiOS向けに提供している。

SSLサーバ証明書の検証処理に脆弱性「CVE-2016-4840」が存在しており、マンインザミドル攻撃（MITM攻撃）によって暗号化通信を盗聴されるおそれがある。

同脆弱性は、リスクファインダーの谷口岳氏が情報処理推進機構（IPA）へ報告。JPCERTコーディネーションセンターが調整を行った。東芝では、脆弱性を解消した「同1.0.3」がGoogle PlayおよびApp Storeにてリリースしている。

（Security NEXT - 2016/08/04 ）ツイート