JVN#65273415
Android OS が CRIME 攻撃による影響を受けてしまう問題

Android OS での TLS プロトコルの実装には、平文の HTTP ヘッダを取得されてしまう脆弱性が存在します。

• Android OS 4.1.2 およびそれ以前のバージョン

TLS プロトコルでは、サーバおよびクライアントにて通信する際にデータを圧縮する機能があります。この機能がサーバとクライアントで有効になっている場合、暗号化された元データの長さを適切に保護していない状態で圧縮したデータを暗号化をしてしまうため、平文の HTTP ヘッダを取得されてしまう脆弱性が存在します。Android OS の TLS プロトコル実装は、本脆弱性の影響を受けます。
なお、この脆弱性を悪用し、平文の HTTP ヘッダを取得する攻撃は、通称 CRIME 攻撃と呼ばれています。

中間者攻撃 (man-in-the-middle attack) が可能な第三者が CRIME 攻撃を行うことにより、平文の HTTP ヘッダを取得される可能性があります。

アップデートする
開発者や販売元が提供する情報をもとにアップデートを適用してください。