公開日:2012/02/02 最終更新日:2012/02/02

JVNVU#763355
HTC 製 Android 端末に Wi-Fi 認証情報漏えいの脆弱性

概要

HTC 製 Android 端末には、Wi-Fi の認証情報が漏えいする脆弱性が存在します。

影響を受けるシステム

影響を受けると報告されているのは以下の製品です。

  • Desire HD (Ace および Spade) - Versions FRG83D, GRI40
  • Glacier - Version FRG83
  • Droid Incredible - Version FRF91
  • Thunderbolt 4G - Version FRG83D
  • Sensation Z710e - Version GRI40
  • Sensation 4G - Version GRI40
  • Desire S - Version GRI40
  • EVO 3D - Version GRI40
  • EVO 4G - Version GRI40
また、以下の製品は影響を受けないと報告されています。
  • myTouch3g
  • Nexus One

詳細情報

HTC 製 Android 端末には、認証情報の管理に問題があり、Wi-Fi の認証情報が漏えいする脆弱性が存在します。

想定される影響

遠隔の第三者によって、当該製品に設定されている Wi-Fi 認証情報を取得される可能性があります。

対策方法

アップデートする
HTC の提供する情報をもとに、最新版にアップデートしてください。
製品によっては、自動でアップデートが適用されるとのことです。

ベンダ情報

ベンダ ステータス ステータス
最終更新日
ベンダの告知ページ
パナソニック株式会社 該当製品無し 2012/02/02
ベンダ リンク
HTC HTC Help Center - WiFi security fix

参考情報

  1. US-CERT Vulnerability Note VU#763355
    802.1X password exploit on many HTC Android devices

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

2012.02.02における脆弱性分析結果

評価尺度 攻撃成立条件 評価値
攻撃経路 インターネット経由からの攻撃が可能
認証レベル 匿名もしくは認証なしで攻撃が可能
攻撃成立に必要なユーザーの関与 設定の変更など、積極的なユーザ動作が必要
攻撃の難易度 ある程度の専門知識や運 (条件が揃う確率は高い) が必要
  • 中 - 高

各項目の詳しい説明

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2011-4872
JVN iPedia