リンクをクリックするだけでAndroid端末の制御権を乗っ取られるChromeの脆弱性を発見

本レポートは、アンラボコリアより発表された内容を翻訳したものです。

----------------------------------------------------------------------------------------------

リンクをクリックするだけでAndroid端末の制御権を乗っ取られるChromeの新しい脆弱性が発見された。 

当該脆弱性を発見したセキュリティ研究員は、東京で開かれた「PacSecセキュリティカンファレンス」のMobilePwn2Ownで脆弱性を公開したが、悪用される恐れがあるため詳細内容は公開していない。

この研究員は、ChromeのJavaScript脆弱性を利用してProject Fi Nexus 6の制御権を取得し、ユーザーに気づかれることなく端末全体にアクセスできるアプリをインストールしてみせた。

PacSecセキュリティカンファレンスにはGoogleセキュリティチームも参加していたため、Googleは、迅速に当該脆弱性に対応するパッチを配布する予定である。また、脆弱性を発見した研究員にはその対価が支払われる。

疑わしいWebサイトへの接続を避け、Google Play ストアからのみアプリをダウンロードするようにすれば、この脆弱性攻撃を防ぐことができる。 

上記の脆弱性以外に、Androidのメディアライブラリ「Stagefright」から発見された脆弱性もMMSを通じて感染する恐れがあり、Androidセキュリティにおいて大きなイシューとなっている。

Androidの巨大な市場シェアを考慮すると、より強力なセキュリティの構造およびアップデートシステムが求められる。