Intel Crosswalk Project は、Android および iOS 向けのハイブリッドアプリを開発するためのフレームワークです。Crosswalk Project には、不正な SSL サーバ証明書をユーザが許可した際の処理に問題があり、アプリによるそれ以降の SSL サーバ証明書すべての検証が阻害される可能性があります。 安全でない操作であることをユーザに警告しない問題 (CWE-356) - CVE-2016-5672 不正な SSL サーバ証明書が検出されると、Crosswalk Project を使用して作成されたアプリはエラーメッセージを表示します。ユーザがこのエラーメッセージで "OK" を選択すると、当該アプリはそれ以降 SSL サーバ証明書の検証を行わなくなります。エラーメッセージには、アプリが永続的に SSL サーバ証明書を検証しなくなることが明確に記載されておらず、再び同じメッセージが表示されることはありません。 CWE-356: Product UI does not Warn User of Unsafe Actions http://cwe.mitre.org/data/definitions/356.html 研究者は、さらに詳しい情報をセキュリティアドバイザリとして公開しています。また、Intel Corporation もこの問題についてブログ記事を作成しています。 セキュリティアドバイザリ https://wwws.nightwatchcybersecurity.com/2016/07/29/advisory-intel-crosswalk-ssl-prompt-issue/ ブログ記事 http://blogs.intel.com/evangelists/2016/07/28/crosswalk-security-vulnerability/

[Crosswalk Project をアップデートし、アプリをリビルドする] アプリの開発者は、Intel Corporation が提供する情報をもとに対策済みの Crosswalk Project にアップデートし、アプリをリビルドしてください。