公開日:2011/07/29 最終更新日:2011/09/05

JVN#43105011
Android における SSL 証明書の表示に関する脆弱性

概要

Android には、SSL 証明書の表示に関する脆弱性が存在します。

影響を受けるシステム

  • Android OS 2.2 より前のバージョン

詳細情報

Android には、外部サイトのコンテンツを読み込むウェブサイトの SSL 証明書を表示する際、外部サイトの SSL 証明書を表示してしまう脆弱性が存在します。

想定される影響

安全なサイトにアクセスしていると誤認してしまい、フィッシング詐欺などの被害を受ける可能性があります。

対策方法

モバイル端末開発者向けの対策
Google が提供する情報をもとにアップデートを行ってください。

モバイル端末ユーザ向けの対策
詳しくは、下記 「ベンダ情報」 をご確認ください。

なお、本脆弱性は Android OS 2.2 で対策されています。

ベンダ情報

ベンダ ステータス ステータス
最終更新日
ベンダの告知ページ
パナソニック株式会社 該当製品あり 2011/08/02

参考情報

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

2011.07.29における脆弱性分析結果

評価尺度 攻撃成立条件 評価値
攻撃経路 インターネット経由からの攻撃が可能
認証レベル 匿名もしくは認証なしで攻撃が可能
攻撃成立に必要なユーザーの関与 リンクをクリックしたり、ファイルを閲覧するなどのユーザ動作で攻撃される
攻撃の難易度 ある程度の専門知識や運 (条件が揃う確率は高い) が必要
  • 中 - 高

各項目の詳しい説明

謝辞

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 株式会社ビジネスインフォーメイションガーヴァン 大谷 周平 氏

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2010-4832
JVN iPedia JVNDB-2011-000053

更新履歴

2011/07/29
対策方法を更新しました。
2011/08/03
パナソニック株式会社のベンダステータスが更新されました
2011/09/05
関連文書に CVE を追加しました。