Airdroidアプリの「中間者」攻撃に対する脆弱性[更新：修正および改善]

更新、12月9日： AirDroidのCMOであるBetty Chenは、脆弱性を修正するチームの作業の最新情報をAndroid Centralに伝えました。 以下の応答を参照してください。

Google PlayストアでのAirDroid（Mobile 4.0.0.3; Mac / Win 3.3.5.3）の段階的なロールアウトを完了しました。すべてのユーザーが利用できるようになりました。 このアップデートでは、暗号化メカニズムを計画どおりに改善し、AirDroidのセキュリティに対する最近の懸念に関する問題を修正しました。

この問題はアップデートで修正されています。

他のセキュリティの改善とともに、通信チャネルをhttpsにアップグレードし、暗号化方法を改善しました。

AirDroidのクロスプラットフォームの性質のため、カスタマイズされたソリューションを設計し、あらゆる面でセキュリティをレベルアップするのに時間がかかりました。 11月下旬にプラットフォーム間で互換性が正常に機能するように、AirDroid4.0とAirDroid 4.0.0.1に再構築コーディングシステムを導入しました。 慎重な評価の後、今月初めにクライアント間でこの更新プログラムを部分的に展開し始め、スムーズなコミュニケーションが適切に実行されるようにしました。 これで、最終的にこの更新プログラムを完全にリリースして、発生した問題を修正し、ユーザーの保護を強化できます。

セキュリティ会社Zimperiumの調査では、人気のあるリモート管理アプリAirDroidがいわゆる「中間者」攻撃に対して脆弱であり、ユーザーの携帯電話がデータの盗難にさらされるか、最悪の場合、ハイジャックによってデバイスが侵害されることが示されています更新ファイル。

Zimperiumによると、意図した被害者と同じネットワーク上の攻撃者は、認証データを傍受してユーザーになりすまし、SMS、通話、通知、連絡先などの個人データを公開することができます。

最も深刻なのは、アプリを更新するメカニズムも同様にハイジャックされ、AirDroidユーザーが悪意のあるAPKファイルによってデバイス全体が危険にさらされる可能性があることです。 セキュリティ会社は、2016年5月から、開発者Sand Studioに脆弱性をどのように開示したかの詳細とともに、サイトに完全な概念実証を持っています。

Zimperiumによると、最近リリースされたAirDroid 4.0.0および4.0.1は同じ脆弱性に対して脆弱なままです。 Sand Studioにコメントを求めて連絡しましたので、この投稿を返信して更新します。 それまでの間、セキュリティを重視するAirDroidユーザーの方は、修正プログラムが利用可能になるまでアンインストールを検討することをお勧めします。

こちらから、Androidデバイス用のAirDroidの最新バージョンをダウンロードできます。 デスクトップアプリの最新バージョンは、AirDroid Webサイトからダウンロードできます。 AirDroidを頻繁に使用する場合は、これらの重要な更新プログラムをできるだけ早くダウンロードすることをお勧めします。