「Apache Cordova」に深刻な脆弱性--「Android」アプリに改ざんのおそれ

　「Android」向けアプリの開発に使われるデバイスAPIに深刻な脆弱性が発見された。

　Apache Software Foundationが開発した「Apache Cordova」はデバイスAPIのツールキットだ。モバイルアプリ開発者はこれを利用して、カメラや加速度計などのネイティブなデバイス機能にJavaScriptからアクセスしている。

　Apacheは今週公開したセキュリティ情報で、Apache Cordova Androidに「重要な」セキュリティ不具合が見つかったことを認めた。

　この脆弱性は、不正なリンクをクリックすると、攻撃者がリモートからの攻撃によってAndroidアプリの動作を改ざんすることを可能にしてしまうというもので、TrendMicro Mobile Threat Research Team （TRT）が発見した。好ましくないダイアログがアプリに表示されたり、アプリが強制終了したりするおそれがあるという。

　この脆弱性（CVE-2015-1835）を悪用するには、特定の条件を満たすことが必要だ。しかしTRTによると、この条件は開発者による通常の手法で満たされることが多いため、この脆弱性が悪用される可能性は極めて高いという。

　TRTは、Cordovaベースのアプリ（「Google Play」で提供されている全アプリの5.6％を占める）の大半に、攻撃を受けるおそれがあると強調している。

　Apacheは、このセキュリティ不具合を修正したApache Cordova Android 4.0.2をリリースし、Cordovaの4.0.x以降を使って構築された全てのAndroidアプリについて、バージョン4.0.2を使用するようアップグレードを推奨している。さらに古いバージョンを利用している開発者向けには、脆弱性が修正されたバージョン3.7.2がリリースされた。Apacheによると、「iOS」など他のプラットフォームは今回の脆弱性の影響を受けないという。