Android DNS 関連の脆弱性

セキュリティmemo に Android の DNS 関連脆弱性が載っていた。情報ソースは IBM の Android DNS Poisoning: Randomness gone bad (CVE-2012-2808) にある。

Android 4.0.4 以前が該当するので、現在出回っているほとんどの Android 端末が該当することになる。

超危ないか？というと、そうでもないと思うが、今時スマホで色々な決裁もする環境では、ちょっと怖い。

簡単に言うと、DNS のソースポートとトランザクション ID はランダムに生成されるのだけど、Android 4.0.4 以前では現在時刻などを使った数字を元にしているため推測が容易だ、というもの。

これで何が危ないか？というと、簡単に何処へ接続しているか？が分かってしまうし、ソースポートも分かり易い状況なので、攻撃者が最悪の場合数分で相手の cookie などを盗まれてしまう。そして、ブラウザに JavaScript を使って存在しないサブドメイン情報などを食わせて攻撃者のサイトへ誘導するという手口。もし気づかずに誘導されてしまうと、マルウェア食わせれたり、悪質な場合は特定のサイトの模倣をして ID／pass を打たせるなどなど、もうよくあるパターンにハマる。

というリスクが、Android 4.0.4 以前では高いよ、ということ。こういうのは OS のパッチが提供されないと対処のしようがないから困る。