【警告】ESファイルエクスプローラーでSDカードの中身が外部から見られてしまう恐れ【要検証】 - satoweb_log

Android端末のファイルマネージャーとして 1・2を争うぐらい 便利に使える ESファイルマネージャーなのですが 特定条件で 外部からファイルが参照できてしまうようです。 事の発端はSGS2をいじっているときに ESファイルエクスプローラーの」NETタブでDropBOXをマウントし 音楽ファイルを再生すると ファイル名の欄に 127.0.0.1:～のアドレスが表示され 「もしかして ローカルに鯖たててる？！！！」 と 不安に思い検証してみました。 IPアドレスが 自宅Wifiで振られたIP ポート番号は 決め打ちです はい。。。 SDカードの中身がまるっと見えちゃいました。。。画像などもぜんぶ参照できちゃいます。 特定条件でしか発動しないとはいえどうなのよこの仕様。。。 Bloger的には画像が参照しやすくていいですが WANからも見れてしまう場合完全にセキュリティホール。 検証1:

[ytoku]

ちょっ、後で検証/現時点の最新版(1.6.1.1)で音楽を再生して簡易検証した。59768の方は条件が足りないのか再現できなかったが、35854は再現してる。まずい。/さらにSoftbank回線で確認。グローバルから見えた。アウト。

[mino90]

本当にサーバー立った。

[kabiy]

bindを::1とか127.0.0.1に #smshw

[tarchan]

＞DocomoのMoperaだとグローバルIPが割り当てされるため、もろ世界から見えてしまうようです。

[timetrain]

とりあえず無線LAN環境の自宅なら安全……なの？

[at_yasu]

何でこんなにhttpdが動いてるんだ…

[muraoka17]

他にも非公開の脆弱性があるらしい?&作者&IPA(JPCERT/CC?)には届出済とのこと。これだけなら自宅LAN内なら問題にはならないけど、非公開のがわからないからな

[blueday]

人気Androidアプリに大穴発覚。よもや中華アプリの悪意を疑いたくはないが的な。

[tyu-ba]

Androidを使っててこのやばさを理解できないならAndroidを使わないほうが良いと思った。 / そういう意味ではガラケーは必要なのかもしれない。

[security_check]

【警告】ESファイルエクスプローラーでSDカードの中身が外部から見られてしまう恐れ【要検証】 - satoweb_log

[bynn_chapu]

うーむ、これはやばいなあ。

[kuwalab]

これは普通にまずいねえ。

[tukanana]

「FTP/LAN/ネット」タブ内のフォルダを開いてると特定のportで丸見えになる模様。

[zoidstown]

うぉ、マジか。

[katsyoshi]

これはこわい

[soup1]

@ アンドロイドをサーバー化!w

[androidzaurus]

これはヒドイ。

[takunama]

おう……。自分は OI File Manager で困ってないので使ってないけど。 "非ROOTで見れるUserデータすべてを読めてしまうようです"

[dmutaguchi]

Androidでメジャーなファイルマネージャアプリ。これはかなりまずそうな穴。

[sora_h]

bindを::1とか127.0.0.1に #smshw

[totttte]

＼(^o^)／