JVNDB-2017-001003
|
iOS 用 ThreatMetrix SDK に SSL サーバ証明書の検証不備の脆弱性
|
ThreatMetrix SDK は iOS プラットフォームにおいて、HTTPS 通信で使用される SSL サーバ証明書を検証しないため、中間者攻撃 (man-in-the-middle attack) が行われる可能性があります。
ThreatMetrix は、モバイルアプリケーションにセキュリティ関連の機能を提供するライブラリです。ThreatMetrix SDK は iOS プラットフォームにおいて、HTTPS 通信で使用される SSL サーバ証明書を検証しません。
|
CVSS v3 による深刻度 基本値: 4.2 (警告) [IPA値]
- 攻撃元区分: 隣接
- 攻撃条件の複雑さ: 高
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 低
- 完全性への影響(I): 低
- 可用性への影響(A): なし
CVSS v2 による深刻度 基本値: 4.8 (警告) [IPA値]
- 攻撃元区分: 隣接
- 攻撃条件の複雑さ: 低
- 攻撃前の認証要否: 不要
- 機密性への影響(C): 部分的
- 完全性への影響(I): 部分的
- 可用性への影響(A): なし
|
|
ThreatMetrix
- ThreatMetrix SDK 3.2 より前のバージョン
|
|
iOS デバイスと同一ネットワーク上または通信経路上に位置する攻撃者によって、ThreatMetrix が扱う HTTPS トラフィックの内容を取得されたり改ざんされたりする可能性があります。
|
[アップデートする]
開発者が提供する情報をもとに、最新版へアップデートしてください。
この問題は、ThreatMetrix SDK 3.2 で修正されています。修正される前のバージョンを使用して作成された iOS アプリケーションは、修正済みバージョンのライブラリを組み込んで作成し直してください。
[ワークアラウンドを実施する]
次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。
* 公共 Wi-Fi を含め、信頼できないネットワークに接続しない
|
ThreatMetrix
|
|
- CVE-2017-3182
|
- JVN : JVNVU#95516811
- National Vulnerability Database (NVD) : CVE-2017-3182
- CERT Vulnerability Analysis : CERT Tapioca
- US-CERT Vulnerability Note : VU#767208
|
- [2017年01月12日]
掲載
- [2019年07月24日]
参考情報:National Vulnerability Database (NVD) (CVE-2017-3182) を追加
|