「LINE」に深刻な脆弱性 … LINE内のトーク履歴や写真、友達リストなどを外部から不正に抜き出されたり、改竄される恐れ


1:2chまとめは使うな ◆/20SEI/yo/8G 20世 ★:2015/03/16(月) 15:22:16.14 ID:???*.net
「LINE」に深刻な脆弱性 外部から全トーク履歴を抜き出される危険性あり


全世界で5億人以上が利用しているメッセージ・アプリ「LINE」に深刻なセキュリティ脆弱性が存在していたことが判った。
この脆弱性を悪意ある攻撃者に突かれると、利用者のスマートフォンに保存されているLINE内のトーク履歴や写真、友達リストなどを外部から不正に抜き出されたり、改竄される恐れがある。


LINEは3月4日に、この脆弱性を修正したバージョンを緊急リリースしている。利用者は自身のアプリが最新版にアップデートされているかどうかを至急確認したほうがいいだろう。

この脆弱性はサイバーセキュリティ・ラボのスプラウト(本記事掲載の『サイバーインシデント・レポート』発行元)が発見し、1月30日にソフトウェア等の脆弱性情報を取り扱うIPA(独立行政法人情報処理推進機構)に報告したものだ。
IPAから2月2日に脆弱性の通知を受けたLINEは、2月12日に脆弱性の一部についてサーバー側で対策。3月4日のアップデートで、アプリケーション側の抜本対策が完了したとしている。

LINEは詳細を明らかにしていないが、今回見つかったのは「クロスサイト・スクリプティング」と「マン・イン・ザ・ミドル(中間者)」と呼ばれるサイバー攻撃の標的になる複数の脆弱性だ。
これらの脆弱性は、LINEがインストールされている「iPhone」や「Android」搭載の主要なスマートフォン上で確認されており、多くの利用者が危険な状態に置かれていたと言える(最新版にアップデートされていなければ現在も危険な状態だ)。

この脆弱性がある状態で前述の攻撃を受けると、LINE内で不正なプログラム・コード(JavaScript)が実行され、攻撃者が内部のデータに自由にアクセスできてしまう。
非常に深刻なのは、攻撃者がアクセスできるデータの対象が広範囲なことだ。
対象となるデータは、LINE内の全トーク履歴、写真、友達リスト、グループリスト、認証情報、プロファイル情報、位置情報に及ぶ。つまり、LINEの利用者が「安全」に保存されていると信じている殆どのデータが、実は危機に晒され続けていたことを意味する。
影響がここまで広範囲に渡ったのは、攻撃者がJavaScriptを使って内部の様々な処理を実行できる仕様になっていたためだ。

想定される攻撃手法は大きく分けて2つある。
ひとつは、攻撃者が駅やカフェといった公共の場所に偽の無線LANアクセスポイントを設置し、そこに不用意に接続した利用者がブラウザなどからインターネットに繋いだ瞬間に、前述のサイバー攻撃を仕掛けて不正なプログラム・コードを実行させるというものだ。あとは、それに従いLINEが動作すれば、いくつかの処理を経た後に利用者のLINEデータが攻撃者のサーバーに送信される。

もうひとつは、攻撃者がターゲットとする利用者に複数の「友だち申請」を行い、その「名前」に不正なプログラム・コードを埋め込む手法だ。
その状態で、メッセージやリンクなどを通じて不正なプログラム・コードが実行されれば、後は同じように利用者のLINEデータが攻撃者のサーバーに送られる。
名前やグループ名にプログラム・コードを埋め込まれないよう回避策を取るのはセキュリティ上必須だが、LINEにはそこに漏れがあった。

今回見つかった脆弱性は最新バージョンで修正されたものの、今後また似たような脆弱性が出てこないとも限らない。
LINEに限らず、利用者がこういったサイバー攻撃から身を守るには、不用意に運営元が分からない公衆無線LANに接続しない、SNS(ソーシャル・ネットワーキングサービス)などで見知らぬ相手と繋がることを避ける、不審なリンク先に接続しない、重要なデータは安全性が確認されていないアプリやサービスではやり取りしない、といった基本的な自衛が必要だ。
とはいえ、利用者側の自衛には限度がある。多くの利用者を抱えるLINEの様なサービス事業者には、多様化するサイバー攻撃から利用者を守るための様々な対策が求められる。



Cyber Incident Report March 16, 2015 07:45
http://csi.sproutgroup.co.jp/archives/000077.html





29: 【中部電 85.2 %】 【18m】 :2015/03/16(月) 15:28:09.49 ID:sTtYiVUu0
え?みんな承知の上で使用してるんだろw?

177:名無しさん@1周年:2015/03/16(月) 15:49:43.88 ID:uUcCWKgT0
行政機関が自由に盗聴しても違法じゃない国にサーバを置いてるサービスなんだから当たり前だろ。

韓国人ですら外国のサービスに切り替えてんのに。

4:名無しさん@1周年:2015/03/16(月) 15:23:45.99 ID:/03gJcA40
うん、知ってた

5:名無しさん@1周年:2015/03/16(月) 15:24:00.05 ID:LOSAe1aM0
仕様です。

7:名無しさん@1周年:2015/03/16(月) 15:24:11.58 ID:vz7ARU3iO
ハナから韓国には筒抜けなんでしょ

8:名無しさん@1周年:2015/03/16(月) 15:24:15.71 ID:jSFx5l/y0
脆弱性ではなくバックd・・・

10:名無しさん@1周年:2015/03/16(月) 15:24:52.16 ID:dD+thiVL0
周知の事実でしょ

11:名無しさん@1周年:2015/03/16(月) 15:24:57.27 ID:Fe521TZP0
(`Д´)ウリ達と個人情報を共有する
ニダ

13:名無しさん@1周年:2015/03/16(月) 15:25:05.76 ID:NJtIF6iY0
韓国もニッコリ

14:名無しさん@1周年:2015/03/16(月) 15:25:20.72 ID:rtdf9DZn0
出始めた当初から言われ続けてるよねwww


引用元:http://ai.2ch.sc/test/read.cgi/newsplus/1426486936/
SHARE
    Blogger Comment
    Facebook Comment

0 コメント:

コメントを投稿