今週は,Androidに2件の脆弱性が発見されました。いずれも多くの端末が対象になるので,今週はこれについて取り上げます。95%の端末が対象,遠隔乗っ取りの可能性「Stagefrightエンジン」の脆弱性1つ目の脆弱性は,AndroidのStagefrightエンジンに,整数オーバーフローを含む複数の脆弱性があり,悪意を持った者によって端末のファイルにアクセスされたり任意のコードが実行される可能性があることがわかりました。r4(Lollipop)を搭載する端末です。影響を受ける端末は,95%になると言われており広範囲になります。問題となるStagefrightエンジンとは,動画・音声再生を行うためのメディアプレイヤーフレームワークです。このエンジンは,ユーザが操作する前にファイルをダウンロードして処理する機能があり,この機能を使ってユーザが気付かないうちに攻撃を行います。悪意を持った者が脆弱性を突く加工をした動画を添付したMMSを送信します。MMSに添付されている動画を開かなくても着信した時か,メッセージを表示した時に端末が乗っ取られる可能性があります。MMSだけではなく,メディアファイルを外部から読み込むことでも被害に遭う可能性があります。多くの端末は,OSアップデートをキャリアが管理しており,ユーザの手でアップデートできません。唯一例外なのは,Goolge自身でコントロールしているNexusシリーズくらいです。これ以外の端末で,いまできる対策は見知らぬ送信者からのMMSをブロックしてしまうことです。これでも完璧な対策とは言えませんが予防策にはなります。他に,MMSを取り扱うアプリで,メディアファイルの自動ダウンロード機能を無効にすることでも予防策になります。56%の端末が対象,操作不可能になる「MediaServerエンジン」の脆弱性2つ目の脆弱性は,AndroidのMediaServerエンジンに,整数オーバーフローを起こす脆弱性があり,着信音や通知音が鳴らなくなったり,端末の反応が悪くなる,最悪のケースは操作できなくなる可能性があることがわかりました。5.1.1(Lollipop)を搭載する端末です。Stagefrightエンジンの脆弱性ほど広範囲ではありませんが,影響を受ける端末が56.8%で半数以上の端末が対象になります。問題となるMediaServerエンジンは,端末のストレージに保存されているメディアファイルをスキャンしてインデックスを作成します。この機能を利用して,悪意のあるものが不正に加工したMKVを埋め込んだアプリを実行させるなどして攻撃を行う手法が考えられます。この脆弱性もアプリだけではなく,外部のメディアファイルを端末のストレージに保存することで被害に遭う可能性があるので注意が必要です。Googleによれば,この脆弱性による攻撃は検出されていないとしていますが,将来のAndroidでは修正版を提供するとしています。原稿執筆時点ではAOSPでも修正版がないので,対策は素性がわからないアプリをダウンロードして実行しない,見知らぬメディアファイルを端末にコピーしないことです。Stagefrightエンジンの脆弱性と比較すれば,影響が部分的で危険性の低い脆弱性ですが,不正なアプリが端末起動時に,自動実行される設定になっていれば,端末を起動する度に脆弱性を突いた攻撃が行われて,端末が使用不可能に陥るので,気を付ける必要があります。今週は,このあたりで,また,来週。著者プロフィール傍島康雄(そばじまやすお)5月30日生まれ。モバイルデバイスが大好物。それで動くアプリの開発に喜びを感じている。Mobile,PalmOSのアプリに情熱を傾けていたが,最近は停滞気味でコードを書くよりも文章を書く機会が多くなっており,文章を書くのも,プログラミングと同じくらい奥深い作業だと感じている。2019」を開催しました。DAY1・DAY2の様子を注目セッションとともにお伝えします。LINEのエンジニア3名がイベントに先駆けて見どころを紹介します。コードの安全性・安定性を高める開発サイクル~テスト管理の効率を上げ,脆弱性診断を自動で行う~本連載では,連載「業務を改善する情報共有の仕掛け」を受けつつ,安全性・安定性を加えた開発サイクルについて考えていきます。若者世代から圧倒的な人気を誇るライブ配信&動画投稿コミュニティアプリ「MixChannel」(ミクチャ)の裏側(レコメンドシステムやサーバサイド開発など)について解説していきます。その他の連載CSS3アニメーションでつくるインターフェイス表現CSS3によるアニメーション表現を紹介していきます。その中でも,幅広い読者に応用してもらえるだろうインターフェイスを主なお題とします。MySQL道普請便り本連載では,MySQLを使ったアプリ開発・運用に関するノウハウをご紹介していきます。RecipeUbuntuの強力なデスクトップ機能を活用するための,いろいろなレシピをお届けします。JavaScriptセキュリティの基礎知識JavaScriptに関するセキュリティ上の問題はどこで発生し,どうすれば防ぐことができるのか?について解説していきます。〜システムをきちんと運用するための基礎知識システムは「作って終わり」ではなく,運用の中でさまざまな問題が発生します。問題の発生に備えて事前にどのような対応をしておくべきなのか,問題発生時に何をしなければならないのか,ポイントを解説していきます。きたみりゅうじの聞かせて珍プレーソフトウェア開発の現場で体験したトホホな失敗,思わずうなる珍プレーをきたみりゅうじ氏が四コママンガで紹介。Linuxのメンテナンスの傍ら,Linuxやオープンソースソフトと日々を過ごす著者が,その魅力とつきあい方を,エッセイ風味でお届けします。PRESS特別編集部員,さわやか笑顔のスーパーハカーはまちちゃんとネット大好き14歳わかばちゃんが,毎号,読者の皆さんから寄せられたおたよりを紹介します。皆さんの日頃の悩みにも答えちゃいますよ。]メールでのお知らせメールで次の案内をお送りしております。メールの配信を希望する方は,利用したい項目をチェックしてメールアドレスを入力し,[登録]ボタンをクリックしてください。UPDATES[ほぼ週間に1回]新刊メールマガジン[ほぼ週間に1回]電脳会議の各号案内[ほぼ1ヵ月半に1回]※変更する場合や停止する場合は,登録情報変更ページをご覧ください。※登録いただいたメールアドレスには,そのお知らせ以外,配信いたしません。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。