[B! セキュリティ][Android] kyuxyuのブックマーク

中国バイドゥがAndroidにバラまいた猛毒

中国のバイドゥ（百度）が提供するAndroid用アプリに重大なセキュリティ上の問題が発覚。その影響範囲の広さから衝撃が走っている。この問題への対処は可能だが、感染経路などを考えると、今後の影響は広範囲に及ぶ可能性がある。問題が見つかったのはバイドゥが提供しているAndroidアプリ開発キット（アプリ開発を容易にする部品集）の「Moplus」だ。Moplusは、特に中国で開発されているAndroid用アプリに多数採用されている。影響範囲が広い理由の一つは、開発キット自身がセキュリティ問題を抱えているため、それを使って作成されたアプリにも同様の問題が存在している可能性を否定できないためだ。バイドゥには前科バイドゥがセキュリティ問題を引き起こしたのは今回が初めてではない。日本語かな漢字変換ソフト「BaiduIME」に、入力した文字列をバイドゥのサーバーにアップロードする機能が備わっているこ

kyuxyu 2015/11/13

リンク

Google、Nexus端末のOSアップデート保証期間を2年に延長　セキュリティパッチは毎月実施へ

Googleは米時間8月5日、通常のOSアップデートに加え、セキュリティに焦点を当てたアップデートを毎月定期的にNexus端末に対して実施すると発表しました。あわせてアップデートの保証期間も延長します。この定期セキュリティアップデートの初回は、本日より開始されます。対象端末は、Nexus 4とNexus 5、Nexus 6、Nexus 7、Nexus 9、Nexus 10、Nexus Player。初回アップデートには、動画メッセージを受信するだけでスマホが乗っ取られるというStageFright問題の修正などが含まれます。この修正は同時に、AOSP（Androidオープンソースプロジェクト）を経由して一般に公開されます。また、Googleは、Nexus端末に対するOSアップデートおよびセキュリティアップデートの保証期間を延長します。これまでOSアップデート保証期間は端末発売から18ヶ

kyuxyu 2015/08/06

リンク

Androidスマホに最悪の脆弱性眠っている間に端末が乗っ取られる - 週刊アスキー

海外のモバイルセキュリティ会社 ZIMPERIUMは7月27日（現地時間）、Android OSに深刻な脆弱性があることをブログで公表した。いわゆるコンピューターウィルスでよく聞くようなアプリからの感染やメールからの感染とは異なり、特定の悪意あるコードを含んだ動画メッセージ（MMS）を受信するだけで乗っ取られてしまう場合があるというのがショッキングだ。 ZIMPERIUMによれば、感染のプロセスは以下のとおり。・攻撃者はあなたの携帯電話番号を知っている必要がある・特別に作成したメディアファイルをMMSメッセージで送りつけることで悪意あるコードを実行する・受信者のどのような行動も必要としないため、この脆弱性は非常に危険である・攻撃者がPDFファイルやリンクを送りつける「スピアフィッシング」と違い、この脆弱性はあなたが寝ている間に実行できてしまう。起床前に、攻撃者は乗っ取りに気づくよう

kyuxyu 2015/07/29

リンク

Androidの脆弱性を見つけちゃった話

JVN#53768697 Android OS において任意の Java のメソッドが実行される脆弱性が公表されました。不肖私が昨年9月にIPAに届け出たものです。これまでは情報非開示依頼があったので多くを語ることができませんでした。ヤバい内容なのでみんなに注意喚起したかったけれどそれができない苦しさ。周りでICS端末を使ってる人を見かけたら「事情は言えないけどブラウザにはChromeを使って。標準ブラウザ使わないで」と言うくらいしかできなくて申し訳ありませんでしたm(_ _)m 当時のいきさつを日記から掘り起こして記録に残しておきたいと思います。 2012年9月15日(土) WebViewを使ったビジネスアプリのフレームワークを作りたいという構想があって（PhoneGapにはないビジネス用の固有の機能を入れようと思って。バーコードリーダーとか印刷機能とか）、そういえば addJ

kyuxyu 2013/12/19

リンク

個人情報漏れすぎ,[hack] TSUNAKAN hack - luminのコードメモ

またまた来ました大変なことをしてくれるAndroidアプリ。ヘンなアプリに要注意！データぶっこ抜きアプリか？Google playに不審なアプリが出回る - ライブドアニュース ITライフハックなんとか The Movieという名前がつくのが今回のアプリの特徴です。内容はそのアプリを動かした動画が見られます。結果から言いますと、このアプリは、アプリを実行した電話の電話番号とAndroid_ID 自分の名前、電話帳に登録してある人すべての名前とメールアドレスをこの人のサーバにアップロードしてしまいます。これらのアプリの総ダウンロード数GooglePlayの表示を足すと、66,600〜271,500。ダウンロードした人たちの連絡先に平均50人入っているとして、3,330,000〜13,575,000人という、とてつもない人数の個人情報が集まっているのではないかということです。パケッ