研究者によると: "TLS接続は改ざんや盗聴から保護されています。しかし、アプリケーションはTLSを初期化する際にサーバー証明書を適切に検証しません。"

この脆弱性は、攻撃者がTLS接続を傍受し、暗号化されたデータを読み取ることを可能にします。攻撃者は、盗んだ情報を悪用して、ユーザーの個人情報、認証情報、または機密データを窃取する可能性があります。さらに、攻撃者は悪意のある応答を送信することで、ユーザーを詐欺サイトに誘導したり、マルウェアをインストールさせたりすることも可能です。この脆弱性は、機密性の高い情報を扱うアプリケーションやサービスに特に深刻な影響を与える可能性があります。攻撃者は、中間者攻撃（Man-in-the-Middle attack）を実行し、通信を傍受して改ざんする可能性があります。

Applications relying on TLS connections for secure communication are at risk. This includes banking apps, e-commerce platforms, and any application handling sensitive user data. Devices running older, unpatched Android versions are particularly vulnerable, as they may lack the latest security enhancements.

• android / supply-chain:

Get-AppxPackage -AllUsers | Where-Object {$_.InstallLocation -like '*\Android*'} | Select-Object Name, PackageFullName

• android / server: Review application manifest files for network permission declarations. Look for overly permissive network access. • generic web: Monitor network traffic for suspicious TLS certificate validation errors or unexpected server responses.

1. 2024-10-02Disclosure

   disclosure

1. 予約済み2024-08-19
2. 公開日2024-10-02
3. EPSS 更新日2026-04-02

この脆弱性への直接的な修正は、Android TLS Connectionのアップデートによって提供される可能性があります。現時点では、サーバー証明書の検証を強化することが推奨されます。アプリケーション開発者は、信頼できる認証局（CA）から発行された証明書のみを受け入れるように、サーバー証明書の検証ロジックを実装する必要があります。また、証明書の有効期限、ドメイン名、およびその他の属性を検証することも重要です。さらに、TLS 1.3へのアップグレードを検討し、より強力な暗号スイートを使用することで、セキュリティを向上させることができます。Androidのセキュリティアップデートを常に最新の状態に保つことも重要です。