公開日‥2016/12/06　最終更新日‥2016/12/06

JVNVU#92900492
Android アプリ﹁株式会社三菱東京ＵＦＪ銀行﹂に SSL/TLS ダウングレード攻撃が可能となる脆弱性

株式会社三菱東京ＵＦＪ銀行が提供する Android アプリ﹁株式会社三菱東京ＵＦＪ銀行﹂には、SSL/TLS ダウングレード攻撃が可能となる脆弱性が存在します。

●Android アプリ﹁株式会社三菱東京ＵＦＪ銀行﹂ ver5.3.1 ●Android アプリ﹁株式会社三菱東京ＵＦＪ銀行﹂ ver5.2.2 およびそれ以前

株式会社三菱東京ＵＦＪ銀行が提供する Android アプリ﹁株式会社三菱東京ＵＦＪ銀行﹂は、サーバとの通信時に TLS v1.2 でのネゴシエーションを試みますが、サーバからのレスポンスで SSL v3.0 が指定されている場合、そのまま SSL v3.0 での通信を行います (CWE-757)。その結果、POODLE 攻撃などの影響を受ける可能性があります。

中間者攻撃 (man-in-the-middle attack) によって、暗号化された通信内容の一部を解読される可能性があります。

アップデートする 株式会社三菱東京ＵＦＪ銀行が提供する情報をもとに、最新版へアップデートしてください。

ベンダ	リンク
株式会社三菱東京ＵＦＪ銀行	三菱東京ＵＦＪ銀行 - Google Play の Android アプリ

CVSS v3 CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N 基本値: 3.7

攻撃元区分(AV)	物理 (P)	ローカル (L)	隣接 (A)	ネットワーク (N)
攻撃条件の複雑さ(AC)	高 (H)	低 (L)
必要な特権レベル(PR)	高 (H)	低 (L)	不要 (N)
ユーザ関与レベル(UI)	要 (R)	不要 (N)
スコープ(S)	変更なし (U)	変更あり (C)
機密性への影響(C)	なし (N)	低 (L)	高 (H)
完全性への影響(I)	なし (N)	低 (L)	高 (H)
可用性への影響(A)	なし (N)	低 (L)	高 (H)

CVSS v2 AV:N/AC:H/Au:N/C:P/I:N/A:N 基本値: 2.6

攻撃元区分(AV)	ローカル (L)	隣接 (A)	ネットワーク (N)
攻撃条件の複雑さ(AC)	高 (H)	中 (M)	低 (L)
攻撃前の認証要否(Au)	複数 (M)	単一 (S)	不要 (N)
機密性への影響(C)	なし (N)	部分的 (P)	全面的 (C)
完全性への影響(I)	なし (N)	部分的 (P)	全面的 (C)
可用性への影響(A)	なし (N)	部分的 (P)	全面的 (C)

分析結果のコメント

無線 LAN のアクセスポイントを設置した第三者によって、中間者攻撃 (man-in-the-middle attack) が行われることを想定しています。

この脆弱性情報は、下記の方が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。報告者: 吉田麗生氏

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE	CVE-2016-7812
JVN iPedia

JVNVU#92900492 Android アプリ﹁株式会社三菱東京ＵＦＪ銀行﹂に SSL/TLS ダウングレード攻撃が可能となる脆弱性

分析結果のコメント

JVNVU#92900492
Android アプリ﹁株式会社三菱東京ＵＦＪ銀行﹂に SSL/TLS ダウングレード攻撃が可能となる脆弱性