「Android」向けアプリの開発に使われるデバイスAPIに深刻な脆弱性が発見された。
Apache Software Foundationが開発した「Apache Cordova」はデバイスAPIのツールキットだ。モバイルアプリ開発者はこれを利用して、カメラや加速度計などのネイティブなデバイス機能にJavaScriptからアクセスしている。
Apacheは今週公開したセキュリティ情報で、Apache Cordova Androidに「重要な」セキュリティ不具合が見つかったことを認めた。
この脆弱性は、不正なリンクをクリックすると、攻撃者がリモートからの攻撃によってAndroidアプリの動作を改ざんすることを可能にしてしまうというもので、TrendMicro Mobile Threat Research Team （TRT）が発見した。好ましくないダイアログがアプリに表示されたり、アプリが強制終了したりするおそれがあるという。
この脆弱性（CVE-2015-1835）を悪用するには、特定の条件を満たすことが必要だ。しかしTRTによると、この条件は開発者による通常の手法で満たされることが多いため、この脆弱性が悪用される可能性は極めて高いという。
TRTは、Cordovaベースのアプリ（「Google Play」で提供されている全アプリの5.6％を占める）の大半に、攻撃を受けるおそれがあると強調している。
Apacheは、このセキュリティ不具合を修正したApache Cordova Android 4.0.2をリリースし、Cordovaの4.0.x以降を使って構築された全てのAndroidアプリについて、バージョン4.0.2を使用するようアップグレードを推奨している。さらに古いバージョンを利用している開発者向けには、脆弱性が修正されたバージョン3.7.2がリリースされた。Apacheによると、「iOS」など他のプラットフォームは今回の脆弱性の影響を受けないという。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
