『Androidに脆弱性、許可なく通話発信される恐れ』 の クチコミ掲示板

[マグドリ00]

http://www.itmedia.co.jp/enterprise/articles/1407/08/news034.html
脆弱性はAndroidのバージョン4.1.1〜4.4.2に存在し、6月19日にリリースされた4.4.4で問題は修正されたようです。
該当バージョンの端末をお持ちで4.4.4へ更新可能な場合、ただちに更新したほうがいいのでしょうが、更新手段がない場合どうすればいいのでしょうか？
文面を読むと不正アプリが原因のようですが、ユーザーが意図的にダウンロードしなければ回避できるのならいいのですが、勝手にインストールされたりしないか懸念があります（汗）。

http://bbs.kakaku.com/bbs/-/SortID=17695691/
このスレの最後のP577Ph2mさんの書き込み[17695793]が参考になります。この内容を守っていれば基本的に大丈夫なのでしょう。
しかしPCではサイトを見ただけで感染するウイルスも出現しており、Androidの脆弱性に対する懸念は必ずしも払拭されたわけではないですね。

書込番号：17711044　スマートフォンサイトからの書き込み

[PC ブレイカー]

何処かの記事で(失念しました)
iPhone4以降
Android2.3以降
を搭載するスマートフォンで同様の事例があるとのことを一昨日にみました。

書込番号：17711161　スマートフォンサイトからの書き込み

[PC ブレイカー]

すいません。発信ではなくこれより軽度と思われるWi-Fiの接続したことのあるSSIDの漏洩ですね。失礼しましたm(_ _)m

書込番号：17711792

[マグドリ00]

http://www.nikkei.com/article/DGXNASDD050EJ_V00C14A3TJ0000/
サイトを見ただけで感染させる攻撃が日本で急増しているそうです。
偽のオンラインバンキングへ誘導し金を盗み取る手口ですね。
これはPCですが、スマホでも不正送金の被害が急増するのを心配しています。

＞PC ブレイカー さん

http://japan.zdnet.com/security/analysis/35050462/
これですかね？
完全な対策をするには手動でネットワークを削除するか、Wi-Fiを完全に無効にすることだそうでこれでは困りますね（汗）。
でもSSIDの漏洩でよかったです。仮に暗号化キーが漏洩したら自宅のネットワークが外部にさらけ出されることになるため非常に危険です。

書込番号：17712096　スマートフォンサイトからの書き込み

[四案]

>このスレの最後のP577Ph2mさんの書き込み[17695793]が参考になります。
>この内容を守っていれば基本的に大丈夫なのでしょう。

微妙にズレてるかも。

普通は怪しいアプリの判断材料になる「アプリの要求する権限」が判断材料にならない　ってのがポイント。
検証ツールで、何の権限要求もないはずのアプリが勝手に電話発信する　ってのを体験できるよ。
参考）http://docomo.publog.jp/archives/39030315.html

アップデート来るのかねえ。

書込番号：17712605

[マグドリ00]

＞四案さん

> 普通は怪しいアプリの判断材料になる「アプリの要求する権限」が判断材料にならない　ってのがポイント。

それでは怪しいアプリかどうかを判断するにはどうしたらいいのでしょうか？

書込番号：17714075　スマートフォンサイトからの書き込み

[アドリンタマネギ]

今回の通話を権限無しに行うものはサンドボックスの実装上の穴を突いたもののようですが、
PCのOSでのソフトの動作とAndroidやiOSなどサンドボックスが徹底されたOSでのソフトの動作とではかなりセキュリティに差がありますから、ブラウザで感染するものなんかでPCのOSといっしょくたに出来ないと思いますよ
iOSで一時期ブラウザで表示しただけで勝手に脱獄してしまうというのがありましたが、既に対策されていますしかなりレアなケースです

書込番号：17714177　スマートフォンサイトからの書き込み

[マグドリ00]

＞アドリンタマネギさん

> ブラウザで感染するものなんかでPCのOSといっしょくたに出来ないと思いますよ

申し訳ありません。
その辺の知識はないものですから。
サンドボックスと言う言葉は初めて知りましたが、サンドボックス的に弱いWindows XPなどではユーザーの承認なしで勝手にインストールされたりするのですね。

つまりAndroidやiOSでは「サイトを見ただけで勝手にインストールされる」と言うことはまず発生しないから安心と言うことですか？

書込番号：17717266　スマートフォンサイトからの書き込み

[PC ブレイカー]

管理者権限の脆弱性ならそんな事も出来ると思います。
＞つまりAndroidやiOSでは「サイトを見ただけで勝手にインストールされる」と言うことはまず発生しないから安心と言うことですか？

書込番号：17717539　スマートフォンサイトからの書き込み

[マグドリ00]

Androidにも管理者権限の脆弱性が存在するのか調べたところ、
http://appkitbox.com/knowledge/android/20131204-100
「Webサイト閲覧でroot権限を取得されてしまう脆弱性」
ただ、これはAndroid2.2でのみ発生する脆弱性のようでした。
しかし、
http://itpro.nikkeibp.co.jp/article/COLUMN/20130723/493624/
「カーネルに権限昇格バグが見つかる、Android 4.0〜4.2系では要注意」
この脆弱性はAndroid 4.0〜4.2が対象のようですが、現在出回っている該当の端末が対策されているのか分かりません。
文中にあるようにマルウエアに仕組まれていると危険ですかね？
Android 4.0〜4.2は5台持ってますが、心配です。
（SO-01E、SH-06E、ISW11F、IS15SH、N-06D）

書込番号：17718104　スマートフォンサイトからの書き込み

[アドリンタマネギ]

管理者権限を取得すればサンドボックスを乗り越えることは可能ですが、
かといって権限昇格のバグの話がなぜブラウザ動作での話と結び付くのかがさっぱりわかりませんが…

書込番号：17718302　スマートフォンサイトからの書き込み

[四案]

>それでは怪しいアプリかどうかを判断するにはどうしたらいいのでしょうか？

上に書いたリンクの検証方法で自分のスマホも現象出ちゃった上に、
いくつか試してみたセキュリティソフトは全部防げなかった。

もう実績から判断するしかないと思う。
今は新着アプリに手を出すのは我慢してるよ。

書込番号：17719450