D0/100
脆弱性 · 中
Sleipnir Mobileの不適切な証明書検証の脆弱性
ティアD · 参考情報 – 知っておくと良い
影響を受ける人： Sleipnir Mobile for iPhone / iPadの利用者
ティアDの理由： 開発者に影響しない
影響範囲
攻撃
被害
修正
要点
- フェンリル株式会社のSleipnir Mobile for iPhone / iPadおよびBlack Editionに不適切な証明書検証の脆弱性が存在することがJVNで公表された。
- JVNの情報源には、CVSSスコア、重大度、悪用の有無、修正版の提供状況は記載されていない。
なぜ重要か
対象のiPhone・iPad向けブラウザを利用する開発者や社内端末の管理者は、通信先の証明書検証が正しく行われない可能性を考慮する必要がある。修正版の公開状況は情報源では確認できないため、JVNの続報を確認するべきである。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中0項目が「はい」
| いいえ | 開発者に影響 | 一般利用者向けのiPhone/iPad用ブラウザーアプリであり、開発や運用に使うソフトウェアではない |
| いいえ | 基幹インフラ | 単一ベンダーの一般向けアプリであり、ほぼすべてのチームが運用する基幹ソフトウェアではない |
| いいえ | 人気ツール | 国内では知られるブラウザーだが、開発者が広く使う技術やツールではない |
| いいえ | 悪用確認済み | JVNは脆弱性の存在を示すのみで、攻撃の観測や被害を報じていない |
| いいえ | 公開エクスプロイト | JVNアドバイザリーには脆弱性の存在のみが記載され、エクスプロイトや概念実証の公開は述べられていない |
| いいえ | 認証不要のリモート攻撃 | JVNは攻撃条件を記載しておらず、認証不要で遠隔から悪用できるとの記述はない |
| いいえ | 完全な乗っ取り | JVNは不適切な証明書検証の脆弱性とのみ記載し、コード実行や権限奪取には言及していない |
| いいえ | シークレットの流出 | JVNは情報漏えいや認証情報の露出について記載していない |
| いいえ | サプライチェーン | JVNは正規配布経路での悪意あるコード配布には触れておらず、脆弱性情報にとどまる |
| いいえ | 修正なし | JVNは修正の状況に触れておらず、未修正であるとの記載はない |
タイムライン
JVNで不適切な証明書検証の脆弱性が公表された
jvn.jp
Sleipnir Mobile for iPhone / iPadにおける不適切な証明書検証の脆弱性
出典
Sleipnir Mobile for iPhone / iPadにおける不適切な証明書検証の脆弱性 ↗ jvn.jp · 1時間前