開発者は修正済みライブラリの適用を
Androidのライブラリに致命的なバグ――多数のアプリが未対応
Google Play Coreライブラリには致命的なバグがあった。Googleは2020年4月に同ライブラリを修正したが、このライブラリを使用している多くのアプリが未対応のまま放置されている。
「Android」アプリの開発者が「Google Play Core」ライブラリをアップデートしないと、何百万人ものユーザーがリスクにさらされるとCheck Point Software Technologiesが警告している。多くのAndroidアプリで使われているGoogle Play Coreライブラリにはバグがあり、Googleは2020年4月にアップデートを行った。
CVE-2020-8913の欠陥は、ローカルでコードを勝手に実行する脆弱（ぜいじゃく）性だ。この脆弱性を利用してあるアプリを標的とする「APK」（Android Package Kit）を作成し、それを標的とするアプリのコードとして実行すると端末内のデータにアクセスできる。アクセスできるデータには、ログイン資格情報、財務情報、プライベートなメッセージや写真などの個人情報が含まれる恐れがある。
この脆弱性はGoogle Play Coreライブラリに起因する。Google Play Coreライブラリは、開発者が独自のアプリ内更新や新機能モジュールをプッシュできる重要な要素だ。2020年9月時点で「Google Playストア」で入手できるアプリの約13％がGoogle Play Coreライブラリを使用している。
Googleは前述の通りこの脆弱性用のパッチを適用した。サーバ側の脆弱性であれば、パッチを適用した時点で解決する。だが、これはクライアント側の脆弱性だ。
Google Play Coreライブラリを利用している開発者がパッチ適用済みのGoogle Play Coreライブラリを取得して、自身のアプリにインストールする必要がある。だが8カ月たった今、パッチに対応していないアプリはまだ多い。
Check Point Softwareでモバイルリサーチ部門のマネジャーを務めるアビラン・ハズム氏は次のように話す。「当社は、何億人ものAndroidユーザーがセキュリティのリスクにさらされると見積もっている。Googleはパッチを実装したが、多くのアプリでまだ古いGoogle Play Coreライブラリが使われている」
「CVE-2020-8913の危険性は高い。攻撃者がこの脆弱性を悪用すると、アプリの内部でコードを実行して、そのアプリと同じアクセス権を入手できる。二要素認証のコードを盗み出したり、銀行アプリにコードを挿入して資格情報を入手したりすることが可能だ」（ハズム氏）
「ソーシャルメディアアプリにコードを挿入して被害者をスパイしたり、インスタントメッセージアプリにコードを挿入して全てのメッセージを入手したりすることもできる」とハズム氏は話す。
Check Point Softwareが著名なアプリを無作為に選んで簡単に調べると、「Bumble」「Microsoft Edge」「Grindr」「PowerDirector」「XRecorder」「Yango Pro」にはこの欠陥がまだ存在する。「Booking.com」「Cisco Webex Teams」「Moovit」「Viber」は問題が解決されていることを確認した。
Check Point Softwareはアプリの開発者全てに連絡しているが、本稿執筆時点（2020年12月）では更新されているかどうかは明らかではない。
端末にモバイル脅威防御（MTD）ソリューションをインストールしていないユーザーは、そのインストールを検討する必要がある。企業が支給した端末を利用しているユーザーならば、企業のモビリティー管理戦略の一環としてMTDがインストールされているだろう。
現在入手可能なMTDツールには、「Proofpoint Mobile Defense」「Symantec Endpoint Protection Mobile」「Zimperium zIPS」「SandBlast Mobile」などがある。
Copyright © ITmedia, Inc. All Rights Reserved.
Computer Weekly日本語版
この記事の著者
関連記事
新着ホワイトペーパー PR
-
市場調査・トレンド
[AvePoint Japan株式会社] SCS評価制度の死角は“SaaSの中” クラウド標準機能では届かない領域とは？ -
製品資料
[デジタルサーカス株式会社] 5分で分かる、「オープンソースCMS」比較ガイド -
製品資料
[デジタルサーカス株式会社] 1つのアプリを各国で運用 多言語モバイルアプリを簡単に開発・導入できる方法 -
製品資料
[ニュータニックス・ジャパン合同会社] 複雑化するKubernetes運用、VMとコンテナの二重管理を解消する方法は？ -
市場調査・トレンド
[アルプス システム インテグレーション株式会社] 急増する高度なフィッシング詐欺 先回りしてブロックするには何が必要？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
Microsoft 365導入後も稟議は「Excelをメールで回覧」 承認が止まる理由
-
2
米国防総省で300万人分の個人情報が流出 その「意外な原因」と教訓
-
3
「Microsoft 365」が乗っ取られる MFAを破る“本物の画面”の恐怖
-
4
PHPはそもそも必要か？ 脆弱性で問われる自社サイト安全性と保守負担のバランス
-
5
PHP脆弱性「PHP2Shell」で2260万件に影響 情シスの緊急チェックリスト
-
6
金融・通信で情報漏えいが続出 IPAとJPCERT/CCが情シスに求める緊急点検
-
7
「年1回の外部診断」が限界に 大手小売が脆弱性管理を内製化・一元化した方法
-
8
京王電鉄・東京メトロの被害から学ぶ境界防衛 ITの侵害はどこまで波及するか
-
9
PHP2Shellの「事前の情報流出」でパニックに パッチ公開を巡る“混乱劇”
-
10
Googleの業務向けAIエージェント「Gemini Agent」が登場 しかし課題は山積み
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
-
3
経験豊富な即戦力人材に直接アプローチできる、「攻めの採用」への転換術
-
4
2026年のサイバーセキュリティには何が必要か？ 最新データに学ぶ傾向と対策
-
5
「IT史に名を残すシステム障害」8選
-
6
「EDR」選定ガイド：比較・検討フェーズで整理すべきポイントを解説
-
7
10G回線の真価をフルに享受するには？ 導入前にチェックしたいポイント
-
8
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
9
MDMだけでは防げない？ Appleデバイスに潜む5つのセキュリティギャップ
-
10
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー