is702
ニュース

情報窃取などにつながる脆弱性を抱えたアプリをGoogle Play上で3,433個確認

2019/12/06

トレンドマイクロは12月5日、公式ブログで「Androidのダブルフリー脆弱性『CVE-2019-11932』、3000以上の未修正アプリを『Google Play』で確認」と題する記事を公開しました。

10月2日に、「Awakened」と呼ばれるリサーチャによって、Androidアプリ「WhatsApp」に存在する脆弱性「CVE-2019-11932」が公表されました。この脆弱性は、メモリの同一エリアを2度以上解放するバグ“ダブルフリー”を悪用するもので、細工した不正なGIFファイル(画像ファイル)を使用するとダブルフリーが発生し、任意のファイルを窃取したり、機器の遠隔操作が可能になるようなものでした。

その後、このダブルフリー脆弱性は、Android用画像読み込みライブラリ「android-gif-drawable」に含まれる「libpl_droidsonroids_gif.so」が原因であることが判明しました。このライブラリは、WhatsApp以外でも利用されているため、多数のアプリが問題を抱えていると考えられます。実際にトレンドマイクロが調査した結果、正規マーケットである「Google Play」で、この脆弱性を持つアプリが3,000以上確認されました。そのなかには、日本でも使用されているソーシャルメディアアプリも含まれていました。またGoogle Play以外のアプリマーケットでも、脆弱性の残ったアプリが複数発見されました。

WhatsAppおよびlibpl_droidsonroids_gif.soはすでに「CVE-2019-11932」に対応しましたが、古いバージョン、あるいは古いライブラリを使って作成されたアプリは、更新する必要があります。ユーザは可能な限り最新版アプリを利用してください。開発者は開発環境やライブラリを更新してください。
モバイル機器利用者は、パソコン同様OSやアプリの更新を適切に行い、脆弱性が悪用されないようにしましょう。また、セキュリティアプリをインストールしておき、ネット上の脅威によるリスクを下げましょう。



脆弱性が存在すると考えられるアプリの数

脆弱性が存在すると考えられるアプリの数

  • ウィルスメール対策・迷惑メール対策 ポテトだから安心・充実・高機能
  • ウィルスバスターマルチデバイス月額版
  • i-フィルター for プロバイダー
ウィルスメール対策・迷惑メール対策 ポテトだから安心・充実・高機能
ウィルスバスターマルチデバイス月額版
i-フィルター for プロバイダー