Preview

WEBSCANで検出できる脆弱性

iOS 用 ThreatMetrix SDK に SSL サーバ証明書の検証不備の脆弱性

危険レベル:
危険スコア: 4.8
2017年01月12日

ThreatMetrix SDK は iOS プラットフォームにおいて、HTTPS 通信で使用される SSL サーバ証明書を検証しないため、中間者攻撃 (man-in-the-middle attack) が行われる可能性があります。 ThreatMetrix は、モバイルアプリケーションにセキュリティ関連の機能を提供するライブラリです。ThreatMetrix SDK は iOS プラットフォームにおいて、HTTPS 通信で使用される SSL サーバ証明書を検証しません。

想定される影響

iOS デバイスと同一ネットワーク上または通信経路上に位置する攻撃者によって、ThreatMetrix が扱う HTTPS トラフィックの内容を取得されたり改ざんされたりする可能性があります。

対策

[アップデートする] 開発者が提供する情報をもとに、最新版へアップデートしてください。 この問題は、ThreatMetrix SDK 3.2 で修正されています。修正される前のバージョンを使用して作成された iOS アプリケーションは、修正済みバージョンのライブラリを組み込んで作成し直してください。 [ワークアラウンドを実施する] 次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。   * 公共 Wi-Fi を含め、信頼できないネットワークに接続しない

CVSS による深刻度

攻撃元区分隣接
攻撃条件の複雑さ
攻撃前の認証要否不要
機密性への影響(C)部分的
完全性への影響(I)部分的
可用性への影響(A)なし

関連タグ