インフラエンジニアのブログ

Androidの非常に重大な脆弱性について以前報告されてましたが、その続報として、実際に脆弱性を確認できるコードが公開されました。
コードの公開するということは、それを真似て簡単に攻撃できてしまうというマイナス面も大きいのですが、だいぶ時間も経っているし、ここまでやらないと駄目だと判断したのでしょう（悪用するような人は自分でコード書けるし、実際の影響は低い）

そうれにしても、最初の報道でMMSを使わなければ問題ないと勘違いした人も多いようで、ニュースの伝え方の問題も今回はあったかも？

Androidの「Stagefright」脆弱性、検証用のエクスプロイトコードを研究者が公開
http://japan.cnet.com/news/service/35070383/
StagefrightはAndroidのメディアライブラリ「libstagefright」にある脆弱性で、通常のマルウェア、フィッシング攻撃、ウイルスとは性格を異にする。ハッカーはシンプルなテキストメッセージ1件のみでパッチがあてられていないデバイスを乗っ取ることが可能という深刻な脆弱性を含む。

参考）
Androidのメディア再生エンジンに脆弱性、動画や音楽で感染することも

Androidのメディア再生エンジンであるStagefrightに脆弱性が発見されたとのことです。
動画や音楽で感染することもあり、さらにMMSを使った場合メールを読まなくても感染してしまう可能性があるとのことです。

Androidに極めて深刻な脆弱性、MMSで端末制御可能に
http://www.itmedia.co.jp/enterprise/articles/1507/28/news049.html

この脆弱性は、モバイルセキュリティを手掛けるZimperiumの研究者ジョシュア・ドレイク氏が発見した。Androidにネイティブで搭載されているメディア再生エンジン「Stagefright」に脆弱性があり、攻撃者が細工を施したMMSメッセージを送り付けるだけで、セキュリティ対策のサンドボックスをかわしてリモートでコードを実行できてしまう恐れがあるという。

脆弱性はバージョン2.2（Froyo）以降のAndroidに存在しており、Androidの95％に当たる9億5000万台に影響が及ぶと試算されている。

非常にヤバイ脆弱性であり、危険性が高く、多くのAndroidに影響があるとのことです。
Android 4.3以前のものには、WebViewの脆弱性があり、すでにGoogleから見捨てられていますから、4.3以前のものは使わない方がよいと思います。
4.4以降のものも、日本ではまだ売られているスマホですが、脆弱性があるのでアップデートの確認をしましょう。アップデートがない場合は、キャリアorメーカーにアップデータを出すように要望しましょう。

Androidのサポート方針のようなものが以前出ていたが、本当に切り捨てをするとは・・・Googleも思い切ったことをするものだね。

Google、古いAndroidのサポート終了か　9億台で脆弱性放置の恐れ
http://www.itmedia.co.jp/enterprise/articles/1501/13/news113.html

過去のOSをいつまでもサポートし続けるのはコストがかかるので、ある程度で切り捨てるのは仕方のないことですが、まだまだ全世界でたくさん使われているOSのサポートを切るというのは驚きです。
さすがにこれはやりすぎだと思うので、きっとしばらくはサポート方針を変更すると思いますが・・・

Androidの問題の一つとして、アップデートの問題があるから、これは大きな影響が(^^;

Androidの最新版が出たとしても、各種メーカーの端末のアップデートはそれだけではできないんですよね。各メーカーがアップデートを出す必要がある（各種ハードウェアがあって、独自アプリとか入ってたりするし、メーカーのカスタマイズとかされているとさらに難しくなって）
メーカー側としてもOSのアップデートは一大作業であって、しかも無償で対応する必要があるとなれば・・なかなか積極的にはできないというのもわからなくもないが・・
さらに新製品を売るためには、買い換えてもらう必要があり、古いスマホのサポートは売り上げを奪ってしまうというジレンマも(^^;
この仕組みのままだと、今後も問題続出って可能性が（今後劇的にサポート作業が軽くなるってことはないだろうし）独自の儲かるビジネスモデルでもないときついでしょうね。といっても簡単にはできないだろうし、カスタマイズしまくると今後のサポートで苦労が増えるというジレンマもあるし(^^;

Androidアプリを騙って情報を盗む手口が増えているので注意しましょう。

バッテリー節約と称して連絡先を盗むAndroidアプリ、シマンテックが注意喚起
http://internet.watch.impress.co.jp/docs/news/20120724_548826.html

確認されたスパムメールは、Androidユーザーにリンクをクリックするよう誘って、悪質なアプリをインストールさせようとするもの。アプリは「電池長持ち」という名称で、バッテリーの使用量が半分になるなどと謳っているが、実際にはデバイスに保存されている連絡先データ（名前、電話番号、メールアドレスなど）を抜き出して外部のウェブサイトに送信するもので、バッテリー消費量を節約する機能などは持たない。

スマプ業者が”仕事”としてやっているようですね。
もちろん今回は「電池長持ち」でしたが、さらに巧妙な手口が続くことは確実です。
職業としてスパムをやっているので、その改良？スピードは尋常ではなく、ちょっと優秀なマーケッターをしのぐ？手口を考えてくることでしょう。

Androidを使う人は気をつけましょう。

面白い記事が itmedia に出ていたのでメモ

ホント？　PC並みには期待できないAndroidのウイルス対策アプリ
Androidマルウェアの騒動が日常化しつつある。ウイルス対策アプリは無いよりマシだが、PCほどの効果は期待できない。その理由（わけ）とは……。

先日もGoogle Playでウイルスが数週間配布され続けていたということもあったけど、今回は別の問題でAndoridのウイルス対策の難しさがわかります。

パソコンの常識で、ウイルス対策ソフトを入れておけば安心ということは、Androidでは通用しません。

注）パソコンでも絶対安心ではありません。
新種のウイルスには対応できないし、ターゲット型には対応できないことも多いです。ほかにもいろいろと問題も
あるし・・・

シマンテックの法人製品でトラブル、定義ファイル更新でブルースクリーン発生
シマンテックの法人向けセキュリティ対策製品「Symantec Endpoint Protection」で、7月11日に公開された定義ファイルに更新すると、Windows XP環境がハングアップしてブルースクリーン状態となるトラブルが発生した。

もちろんシマンテックだけではありません。過去には他のウイルス対策ソフトでも似たような問題は起こっていたし、今後も起こるでしょう。

パソコン用のウイルス対策ソフトでなぜパソコンが起動できなくなるのか、それはシステム権限（管理者権限）というより強い権限で実行できるからです。しかも起動時にOSよりも先に立ち上がってウイルスチェックもしたりしますからね。だからシステムが感染してもチェック出来るのですが、これを携帯のようなパーソナル端末で実行すると、いざって時の被害は増えそうで怖いですけど。

パソコンの場合、古いOSが動いてたとしても、XPやVistaなどある程度限られているし、ハードウェアの仕様もある程度決まってますが、Androidの場合バラバラだからなおさら注意が必要！
Androidが起動する前にチェックしようにも、各種ドライバをウイルス対策ソフトが持つことは、これだけいろいろなハードウェアがあっては難しいでしょう（仮にだめだった場合、起動出来なくなってしまう障害が多発なんてことも）

もちろんシステム権限などを持たないことで、簡単にOSを書き換えられないような仕組みで、ウイルスにかかりにくくする意味はあるのですが・・・Androidの場合、システム領域に書き込んでしまうアプリも存在しているから厄介なそうです。

新しい攻撃方法も次々見つかっているし、今後さらに酷いことになりそうで怖いですね。