モバイルアプリ解析ツール「MobSF」に脆弱性 - アップデートで修正

モバイルアプリケーション向けのセキュリティリサーチフレームワーク「MobSF（Mobile Security Framework）」に脆弱性が明らかとなった。アップデートが提供されている。

同ソフトウェアは、「iOS」や「Android」向けアプリにおける脆弱性テストやセキュリティの評価、マルウェアの解析機能などを備えたフレームワーク。静的ライブラリの分析機能にパストラバーサルの脆弱性「CVE-2024-43399」が判明した。

同フレームワークでは、相対パスが含まれる「zipファイル」を用いた「zip slip攻撃」への対策機能を用意しているが、同対策を回避し、同フレームワークが同するサーバ上の任意の場所にファイルを展開することが可能だという。「実証コード（PoC）」も公開されている。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「8.0」、重要度を4段階中、上から2番目にあたる「高（High）」とレーティング。

一方、米国立標準技術研究所（NIST）の脆弱性データベース「NVD」ではCVSS基本値を「9.8」、重要度をもっとも高い「クリティカル（Critical）」とした。

同脆弱性は「同4.0.7」で修正されており、利用者に対してアップデートするよう呼びかけられている。

（Security NEXT - 2024/08/26 ）ツイート