Android端末のファームウェアに隠し機能、ユーザー情報を中国に送信
米国で販売されていたAndroid端末のファームウェアをセキュリティ企業が調べた結果、SMSの本文や連絡先、通話履歴などの情報が中国のサーバに送信されていたことが分かった。 米モバイルセキュリティ企業のKryptowireは11月15日、米国で販売されていた複数のAndroid端末のファームウェアに、ユーザーの個人情報を収集して許可なく中国のサーバに送信する機能が組み込まれていたことが分かったと発表した。 Kryptowireは米軍や捜査当局向けのモバイルセキュリティツールを手掛ける企業。同社によると、米国のAmazonなどのネット通販で販売されていたAndroid端末のファームウェアのコードやネットワークを分析した結果、BLU Products製の端末などでユーザーが送受信したSMSの本文や連絡先、通話履歴と電話番号、端末の識別番号などの情報が収集されていたことが分かった。こうした情報は
Android版KindleにおけるSSLサーバ証明書の検証不備の脆弱性CVE-2014-3908
本稿では、Android版KindleにおけるSSLサーバ証明書の検証不備の脆弱性CVE-2014-3908について、発見の経緯と脆弱性の詳細、起こり得る影響などについて報告します。 発見の経緯 奥一穂さんとfacebook上で会話していて、スマホアプリ等でSSLサーバ証明書の検証をする際に、コモンネームを検証していないアプリの可能性について示唆を受けました。その内容は、奥さんのブログ記事として以下にまとめられています。 Kazuho's Weblog: SSL/TLSライブラリの正しい使い方（もしくは、コモンネームの検証について） 詳しくは上記記事をお読みいただくとして、サーバ証明書の検証の要点としては以下となります。 証明書が信頼された認証局の発行したものであること 証明書の有効期限の範囲内であること サーバ証明書のコモンネームが接続しようとしているサーバと一致していること これらのう
Androidの脆弱性を見つけちゃった話
JVN#53768697 Android OS において任意の Java のメソッドが実行される脆弱性 が公表されました。 不肖私が昨年9月にIPAに届け出たものです。 これまでは情報非開示依頼があったので多くを語ることができませんでした。 ヤバい内容なのでみんなに注意喚起したかったけれどそれができない苦しさ。 周りでICS端末を使ってる人を見かけたら「事情は言えないけどブラウザにはChromeを使って。標準ブラウザ使わないで」と言うくらいしかできなくて申し訳ありませんでしたm(_ _)m 当時のいきさつを日記から掘り起こして記録に残しておきたいと思います。 2012年9月15日(土) WebViewを使ったビジネスアプリのフレームワークを作りたいという構想があって（PhoneGapにはないビジネス用の固有の機能を入れようと思って。バーコードリーダーとか印刷機能とか）、そういえば addJ
スマートフォンアプリへのブラウザ機能の実装に潜む危険 ――WebViewクラスの問題について
はじめに AndroidにはWebViewと呼ばれるクラスが用意されています。簡易的なブラウザの機能を提供しているクラスで、URLを渡してHTMLをレンダリングさせたり、JavaScriptを実行させたりすることができます。内部ではWebKitを使用しておりAndroidの標準ブラウザと同じような出力結果を得ることができるため、このクラスを使用することで簡単にWebブラウザの機能を持ったアプリケーションを作成できます。 しかし、その簡単さ故、使い方を誤ったり仕様をよく把握していなかったりすると、脆弱性の元になります。今回はこのWebViewクラスの使い方に起因する脆弱性について見ていくことにしましょう。 WebViewクラスとJavaScript WebViewクラスを使用した場合、注意しなければならないのはJavaScriptを有効にした場合です。デフォルトではJavaScriptの機能
Endpoint Protection - Symantec Enterprise
先週来、不審な Android アプリに関する話題がインターネットをにぎわせています。ほとんどのアプリは、日本で人気のあるゲームを模倣したものや、ゲームに関連するビデオを再生するものですが、実際にインストールしたユーザーからアプリの合法性が疑問視されました。 シマンテックはこれまでに、このような特徴を持つものとして 7 つの開発者による 29 のアプリを特定し、それらが悪質なものであることを確認しています。これらのアプリには共通のプログラミングコードが使われていることから、犯罪に関与しているのは単独の個人または組織であると考えられます。シマンテックが確認した最初のアプリが Google Play に登場したのは 2 月 10 日頃ですが、3 月後半までにはさらに多くのアプリが登場しています。当初公開されていたアプリはゲーム関連ではなく、アダルト向けのアプリや連絡先管理アプリ、レシピアプリ、
とある技術屋の日記 改めて警告します。「超光懐中電灯無料アプリ」は利用することが望ましくないアプリです
マルウェア対策ソフトで検知されても、アプリが持っている危険性に対して信じようとしない(信じたくない)方がいらっしゃるようなので…。 超光懐中電灯無料アプリは、起動するたびに端末を特定する情報と共に現在の位置情報を広告企業に送っていますし、いまでも遠隔操作用の命令を送り込むサーバに接続を試みています。 それでもご自身の端末で使うことを厭わない方は、ご自身の責任でご使用ください。でも、「(リスクすら説明せずに無邪気に)他人に勧めるのはやめてください」。 以下、かなり大雑把ですが超光懐中電灯無料アプリの問題点をまとめておきます。 超光懐中電灯無料アプリにはApperHandと呼ばれる不適切なプログラムや端末の位置情報/識別情報を収集する広告プログラムが多数組み込まれています。 この組み込まれたプログラムによってアプリを立ち上げるたびに、次の動作をします。 広告プログラムによって端末を特定できる情
auスマートフォン「IS01」にBCCの内容が受信者に開示される不具合、NTTドコモの「LYNX（SH-10B）」でも同様に発生
Android 2.1以降へのOSアップデートが打ち切られることが発表されたauの「IS01」について、標準メールアプリを使ってメールを送信する際、BCCにアドレスを入力するとある特定の条件下でその情報が受信側のヘッダ情報に表示されてしまうという不具合が、読者からのタレコミによって明らかになりました。 IS01のユーザーでなくとも、PCメールを普段から使っている人であれば、本来相手に見せたくないから利用するBCCの内容が筒抜けになっているというのはかなりの非常事態であることが分かることと思います。この件についてAさんからのタレコミを元にKDDIに問い合わせたところ、確かにBCCに関する不具合については確認しており、この問題の改善についても本日発表されたアップデートの内容に含まれているとの回答を得ましたが、アップデートを知らせる公式ホームページのページには別件の不具合のみが記載されているのが
Androidユーザー気をつけて！ 手油でパスコードバレバレ
夏は特に注意！ 手、ベットベトになりやすいのでねぇ。 ペンシルベニア大学の研究員が様々な方法でAndroidのタッチスクリーンパスコードの解読がどれくらい難しいかということを調べたところ...｢解読すげー簡単です！｣という結果がでたそうです。簡単も簡単、らっくちん楽勝だそうです。人間ですもの、汗やら皮脂やらいろんなものが手についてます。パスコードを解く時に指からその皮脂がスクリーンにつき、パスコードの後をのこしてしまう。調査の結果解読度92%！ Android2.2のFroyoを待つか、スクリーン全体を常に触ってベタベタ状態にするか。 心配な方は気をつけましょう。 [UPenn via Techdirt] Brian Barrett（原文／そうこ）
Android壁紙アプリがスパイウェアだった件 - Android Zaurusの日記
こんな流れ http://togetter.com/li/38526 くろぺんさんが綺麗にまとめてる http://komugi.net/archives/2010/07/29151123.php 問題の開発者 http://jp.androlib.com/android.developer.jackeey-wallpaper-qwjB.aspx http://jp.androlib.com/android.developer.iceskysl-1sters-wz.aspx 問題のパケットのダンプ http://pastebin.com/MNMUjQQG 物理アドレスだけ00で埋めた http://f.hatena.ne.jp/androidzaurus/20100729141747 物理アドレスだけ（ｒｙ セキュリティ会社を名乗る大本営発表*1は、たいてい尾ひれがついて面白おかしく大げさ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
[みんなのケータイ]周囲にある時はロックしない、ほどよいセキュリティ「Smart Lock」![[みんなのケータイ]周囲にある時はロックしない、ほどよいセキュリティ「Smart Lock」](https://cdn-ak-scissors.b.st-hatena.com/image/square/68c83af4865752235b61476b9a0b369593b18566/height=288;version=1;width=512/http%3A%2F%2Fk-tai.watch.impress.co.jp%2Fimg%2Fktw%2Flist%2F716%2F229%2Fimportant_image.jpg)
Engadget | Technology News & Reviews
Amazonの偽ギフトカードでユーザーを誘惑、SMSで感染を広げるAndroidマルウェア 
Amazon アプリストア
Android向け「JR東日本アプリ」に脆弱性、最新版にアップデートを 
スマホにも“Heartbleed”脆弱性、検査アプリをTrend Microが公開 
JVN#53768697: Android OS において任意の Java のメソッドが実行される脆弱性
Android端末の９９％に影響する脆弱性への機種別対応状況まとめ
Androidの一部機種に脆弱性、IPAとJPCERT/CCが更新呼び掛け
正規のAndroidマーケットにもマルウェア入りアプリ、各社が注意喚起