ユーザーがデバイスをコンピューターのリモート キーボードとして使用できるようにする 3 つの Android アプリケーションには、キーの押下が公開され、リモートでコードが実行される可能性がある重大な脆弱性があります。
アプリは、PC キーボード、レイジー マウス、およびテレパッドであり、それらの脆弱なバージョン (無料および有料) であり、Google Play では合計で 200 万を超えるインストール数があります。
重大な弱点は Synopsys のアナリストによって発見され、2022 年 8 月にアプリ開発者にその結果を通知しました。
研究者は、2022 年 10 月に再度ソフトウェア ベンダーに連絡を取ろうとしたが、返答が得られなかった後、本日、セキュリティ アドバイザリを公開しました。
「 CyRCの調査により、3 つのアプリにおける認証メカニズムの脆弱性または欠落、承認の欠落、および安全でない通信の脆弱性が明らかになりました。」
「脆弱性はすべて認証、承認、および転送の実装に関連していますが、各アプリケーションの障害メカニズムは異なります」 – Synopsys
各アプリに影響を与える欠陥は次のとおりです。
- CVE-2022-45477 (深刻度 9.8) – Telepad に欠陥があり、リモートの認証されていないユーザーがサーバーに命令を送信して、承認や認証を必要とせずに任意のコードを実行することができます。
- CVE-2022-45478 (重大度 5.1) – 攻撃者が中間者 (MITM) 攻撃を実行し、すべてのキー押下を平文で読み取ることを可能にする Telepad の欠陥。
- CVE-2022-45479 (重大度 9.8) – PC キーボード フローにより、認証されていないリモート ユーザーがサーバーに命令を送信し、承認や認証を必要とせずに任意のコードを実行できます。
- CVE-2022-45480 (重大度 5.1) – PC キーボードの欠陥により、攻撃者が中間者 (MITM) 攻撃を実行し、すべてのキー押下をクリアテキストで読み取ることができます。
- CVE-2022-45481 (重大度 9.8) – Lazy Mouse のデフォルト設定にパスワード要件がなく、リモートの認証されていないユーザーが承認や認証を必要とせずに任意のコードを実行できます。
- CVE-2022-45482 (深刻度 9.8) – レイジー マウス サーバーの脆弱性は、レート制限を実装せずに弱いパスワード要件を適用することで、認証されていない攻撃者が PIN をブルート フォースし、任意のコマンドを実行できるようにします。
- CVE-2022-45483 (重大度 5.1) – 攻撃者が中間者 (MITM) 攻撃を実行し、すべてのキー押下をクリアテキストで読み取ることができるレイジー マウスの欠陥。
3 つのアプリは、開発者による保守またはサポートが終了しているため、「放棄されたソフトウェア」を定義する基準に適合しています。
アプリを使い続けると、機密情報が公開される重大なリスクが伴います。悪用に成功すると、リモートの攻撃者がデバイス上で任意のコードを実行できるようになる可能性もあります。
リモート キーボード アプリをお探しの場合は、Google Play で積極的に管理されているプロジェクトがいくつかあり、その多くはユーザーから高い評価を得ています。
代替アプリをインストールする前に、必ずユーザー レビューを確認し、プロジェクトのプライバシー ポリシーを注意深く読み、最終更新日を確認してください。可能であれば、ユーザーは転送中のデータが暗号化されていることを確認するようにしてください。
Comments