情報処理推進機構：IPA テクニカルウォッチ：『Androidアプリの脆弱性』に関するレポート

HOME >> IPAについて >> 最新情報 >> IPA テクニカルウォッチ：『Androidアプリの脆弱性』に関するレポート

IPAについて

IPA テクニカルウォッチ

『Androidアプリの脆弱性』に関するレポート
～簡易チェックリストで脆弱（ぜいじゃく）性を作り込みやすいポイントを確認～

2012年6月13日
独立行政法人情報処理推進機構

　IPA（独立行政法人情報処理推進機構、理事長：藤江一正）は、IPAに届け出られるAndroidアプリの脆弱性関連情報が2011年後半から増加していることを踏まえ、それらを分析して脆弱性を作り込みやすいポイントをまとめ、技術レポート「IPAテクニカルウォッチ」として公開しました。

概要

　近年、Android端末の利用者の増加に伴い、多くのAndroidアプリが提供されるようになりました。そのような状況の中、2011年後半からIPAに届け出られるAndroidアプリの脆弱性関連情報も増加しており、2012年5月末までの累計で42件の届出がありました。届出を分析した結果、その7割超が「アクセス制限の不備」の脆弱性であることがわかりました。

　「アクセス制限の不備」の脆弱性は、制限が適切に実施されていないために、非公開または公開を限定すべき情報や機能に対するアクセスを第三者に許してしまう問題です。

　Androidアプリにおける「アクセス制限の不備」の脆弱性の原因箇所を分類すると、ファイルアップロードやデータ共有などのAndroidアプリの「機能（コンポーネント）」に対するアクセス制限不備と、Androidアプリが生成する「ファイル」に対するアクセス制限不備の2つに分けられます。どちらもAndroidの仕組みを理解し、適切にアクセス制限の設定をしていれば防ぐことのできる脆弱性ですが、多くの届出があったという事実から、このAndroid特有の設定の内容が開発者に周知できておらず、結果的に、アクセス制限の不備の脆弱性を作り込んでしまっているのではないかとIPAでは推測しました。

　本レポートでは、より多くのAndroidアプリ開発者にAndroid特有のアクセス制限の必要性についての理解を促進するために、Androidの仕組みについて説明した上で、届出の多かったAndroidアプリの脆弱性の例を5件紹介しています。