趣味の範囲でサイバーセキュリティの話この広告は、90日以上更新していないブログに表示しています。Android今回は個人的に興味を持ったAndroidアプリの脆弱性を調べてみました。きっかけは以下のTweetです。いう1億以上のダウンロード数のある人気アプリに脆弱性があり、端末内のファイルをネットワーク経由で盗み出すなどができるようです。アプリPoCが公開されており、影響範囲には現時点の最新バージョンも含まれて、アップデートはまだ提供されていないようです。私自身以前利用しており、割と使い勝手はよかったと記憶しています。一時期「中国に情報を送っている」みたいなよくある曖昧な噂が流れて、ちょっと心配になり、別のアプリに移行しました。いうことで今回、一度アンインストールしたそのアプリを再インストールして、どのような脆弱性なのかを確認してみました。検証インストールします今回は、私の古いタブレットで検証しました。IPは「192.168.0.7」となっています。起動すると、59777ポートでHTTPを待ち受けるようになります。打ってみると、確かにポートが開いていることが確認できます。ファイルエクスプローラーを起動する前で、下が起動した後です。ブラウザでアクセスすると、以下のような表示がされました。ファイルエクスプローラーを起動すると、このポートはずっと待ち受けるようで、アクティビティを殺しても、端末を再起動してもバックグラウンドサービスとして動き続けているようでした。インストールして一度起動した時点で、それ以降、いつでも攻撃を受ける可能性があるということになります。リクエストを投げると、様々な攻撃が行えるとのことです。具体的には現在公開されているPoCで、以下のようなことができます。画像ファイル一覧を取得してみます。画像ファイルの一覧がずらっと表示されます。その中のファイルを取得します。確かに端末内のファイルを取り出すことができました。ファイルエクスプローラーが動いている端末内のファイルを自由に取り出すことができるようです。不特定多数の人が接続可能なWifi環境下では攻撃者により知らない間に端末内に保存した写真などが盗み出されている可能性もあります。解析アプリのapkファイルを取り出して簡単に中身を解析してみました。脆弱性をついてapkファイルを取り出します(便利!)。デコンパイルしたソースファイルを確認します。デコードした中身に対してそれらしい文字列でgrepをかけていくと、サーバとして待ち受けているっぽい箇所がわかります。以下はコマンドを受け付けるコードです。今回のコマンド受付けとは関係なさそうです。ちなみに、待ち受けているコマンドは以下の通り。listFileslistPicslistVideoslistAppslistAppsSystemlistAppsPhonelistAppsSdcardlistAppsAllgetAppThumbnailappLaunchappPullgetDeviceInfo何ができるかは大体予想がつきますね。脆弱性の根本的な原因はHTTPで待ち受け、認証もなしに情報を取得できてしまうことにあります。そもそも何のためにHTTPの待ち受けを行っているのでしょうか?アプリの機能の説明には「ローカル/インターネット管理」といった記載があるので、この辺りの機能に関連しそうですが、詳細についてはどこにも記載が見当たりません。いう機能はせめてユーザ側で有効/無効を切り替えられるようにすべきじゃないかと思っており、この辺りは設計上の不備ではないかと考えています。対策というほどのものはないけれど、少なくとも現時点で脆弱性に対応したアップデートが出ていないことを考えると、しばらくは利用を控える(アンインストールする)というのがよいかと思います。開発チームはこの脆弱性を認識しており、近いうちに修正はされるそうです。いうやつを使っています。宣伝でもなんでもないですし、安全かと言われれば、はっきり答えられる自信はありませんが、参考になれば......。4.1.9.9)が配信され、脆弱性が修正されました。ポートは依然開いたままですが、PoCを打ってみると、500エラーが返ってきました。更新されたソースを見ると、ちゃんと追ってないですが、コマンドを受け付ける前に、認証か何かの処理を入れたようです。この脆弱性については、対処されました。脆弱性(CVE-2018-2894)についてXdebugとNetBeansを使ったDrupalのデバッグ環境をdocker-composeのみで立てる月別アーカイブはてなブログをはじめよう!blueBLUEさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。