JVNVU#92879974
スマートフォンアプリ「ShoreTel Mobility Client」に SSL サーバ証明書の検証不備の脆弱性
スマートフォンアプリ「ShoreTel Mobility Client」は、HTTPS 通信で使用される SSL サーバ証明書を正しく検証しないため、中間者攻撃 (man-in-the-middle attack) が行われる可能性があります。
- iOS アプリ「ShoreTel Mobility Client」 version 9.1.5.104 より前のバージョン
- Android アプリ「ShoreTel Mobility Client」 version 9.1.3.109 およびそれ以前
不適切な証明書検証 (CWE-295) - CVE-2016-6562
スマートフォンアプリ「ShoreTel Mobility Client」は、HTTPS 通信で使用される SSL サーバ証明書を正しく検証しないため、中間者攻撃 (man-in-the-middle attack) によって、サーバにログインする際の認証情報など、機微な情報を取得される可能性があります。
当該アプリが動作する iOS デバイスと同一のネットワークに接続している攻撃者によって、HTTPS 通信の内容を盗聴されたり改ざんされたりする可能性があります。結果として、サーバにログインする際の認証情報など、機微な情報を取得される可能性があります。
アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は iOS アプリにおいては本脆弱性を修正した version 9.1.5.104 をリリースしています。
ただし、2017年2月8日現在、Android アプリの修正版は リリースされていないようです。
ワークアラウンドを実施する
次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。
- 公共 Wi-Fi を含め、信頼できないネットワークに接続しない
| ベンダ | リンク |
| ShoreTel, Inc. | ShoreTel Mobility Client - App Store |
-
CERT/CC Vulnerability Note VU#475907
Shoretel Mobility Client iOS application does not verify SSL certificates -
Info-Sec.CA Information Security Advisories
ShoreTel Mobility Client iOS Application - MITM SSL Certificate Vulnerability (CVE-2016-6562)
| 攻撃元区分(AV) | 物理 (P) | ローカル (L) | 隣接 (A) | ネットワーク (N) |
|---|---|---|---|---|
| 攻撃条件の複雑さ(AC) | 高 (H) | 低 (L) | ||
| 必要な特権レベル(PR) | 高 (H) | 低 (L) | 不要 (N) | |
| ユーザ関与レベル(UI) | 要 (R) | 不要 (N) | ||
| スコープ(S) | 変更なし (U) | 変更あり (C) | ||
| 機密性への影響(C) | なし (N) | 低 (L) | 高 (H) | |
| 完全性への影響(I) | なし (N) | 低 (L) | 高 (H) | |
| 可用性への影響(A) | なし (N) | 低 (L) | 高 (H) |
| 攻撃元区分(AV) | ローカル (L) | 隣接 (A) | ネットワーク (N) |
|---|---|---|---|
| 攻撃条件の複雑さ(AC) | 高 (H) | 中 (M) | 低 (L) |
| 攻撃前の認証要否(Au) | 複数 (M) | 単一 (S) | 不要 (N) |
| 機密性への影響(C) | なし (N) | 部分的 (P) | 全面的 (C) |
| 完全性への影響(I) | なし (N) | 部分的 (P) | 全面的 (C) |
| 可用性への影響(A) | なし (N) | 部分的 (P) | 全面的 (C) |
分析結果のコメント
当該アプリが動作する iOS デバイスと同一ネットワーク内の第三者による中間者攻撃 (man-in-the-middle attack) によって、通信内容の盗聴および改ざんが行われることを想定しています。
- 2017/02/08
- 対象製品に Android アプリを加え、iOS アプリへの対策情報を更新しました
