2016.07.31(日)

AndroidのURLConnectionクラスにHTTPヘッダインジェクションの脆弱性(JVN)

脆弱性と脅威 セキュリティホール・脆弱性

独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は2月19日、Android PlatformのURLConnectionクラスに、HTTPヘッダインジェクションの脆弱性が存在すると「Japan Vulnerability Notes(JVN)」で発表した。CVSS v3によるBase Scoreは4.3。

「Android 2.2 から 6.0 に含まれる URLConnection クラス」には、オープンソースの OkHttp から取り込んだソースコードが原因でHTTPヘッダインジェクションの脆弱性(CVE-2016-1155)が存在する。この脆弱性により想定される影響はアプリケーションによって異なるが、表示されるページが改ざんされたり任意のスクリプトが実行されたりクッキーに任意の値を設定されるなどの影響を受ける可能性がある。JVNでは、対策済みの OkHttp を使用するよう呼びかけている。
《吉澤 亨史》

編集部おすすめの記事

特集

脆弱性と脅威 アクセスランキング

  1. 政府が「ポケモンGO」に関する注意喚起を発表、9つの注意点を記載(NISC)

    政府が「ポケモンGO」に関する注意喚起を発表、9つの注意点を記載(NISC)

  2. Ruby on Rails において Render メソッドの実装不備により遠隔から任意のコードが実行されてしまう脆弱性(Scan Tech Report)

    Ruby on Rails において Render メソッドの実装不備により遠隔から任意のコードが実行されてしまう脆弱性(Scan Tech Report)

  3. Android端末を狙うリダイレクトサイト、4万5千以上確認(Dr.WEB)

    Android端末を狙うリダイレクトサイト、4万5千以上確認(Dr.WEB)

  4. トロイの木馬型マルウェアが仕込まれたAndroid版「Pokemon GO」に注意喚起(McAfee)

  5. 「Apache Struts 1」利用に早急な切り替えを呼びかけ--JVN登録状況(IPA)

  6. 位置情報連携型ゲームのプレイにおける注意喚起、個人情報の流出や非正規アプリも(NTTドコモ、KDDI、ソフトバンク、TCA)

  7. 「AirDroid」のWebインタフェースに未対応のXSS脆弱性(JVN)

  8. 「Pokemon GO」で身元バレの可能性、個人情報の管理に注意

  9. 2013年にサポートが終了している「Apache Struts1」に複数の脆弱性(JVN)

  10. Microsoft Windows の Win32k.sys ドライバの実装に起因する整数オーバーフローの脆弱性(Scan Tech Report)

アクセスランキングをもっと見る

★~(=^・ω・^)ノ☆★ Scanもアップグレードしませんか?7月末まで Scan PREMIUM が最大 5,000 円割引となるキャンペーンを実施中 ★★
★~(=^・ω・^)ノ☆★ Scanもアップグレードしませんか?7月末まで Scan PREMIUM が最大 5,000 円割引となるキャンペーンを実施中 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事はもちろんのこと、掲載された全ての限定コンテンツに、フルアクセスが可能となります。

×