| Title | iOS アプリ「Pandora」に SSL サーバ証明書の検証不備の脆弱性 |
|---|---|
| Summary | iOS アプリ「Pandora」は、HTTPS 接続において SSL サーバ証明書を正しく検証しないため、中間者攻撃 (man-in-the-middle attack) が行われる可能性があります。 証明書の検証不備 (CWE-295) - CVE-2017-3194 音楽ストリーミングサービス用の iOS アプリ「Pandora」は、HTTPS 接続において SSL サーバ証明書を正しく検証しないため、中間者攻撃 (man-in-the-middle attack) が行われる可能性があります。 |
| Possible impacts | 中間者攻撃 (man-in-the-middle attack) により、HTTPS で保護されるべき通信内容を取得されたり改ざんされたりする可能性があります。結果として、ログインのための認証情報など機微な情報が漏えいする可能性があります。 |
| Solution | 2017年3月29日現在、対策方法は不明です。 [ワークアラウンドを実施する] 次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。 * iOS アプリ「Pandora」を使用しない * 信頼できないネットワークを使用しない |
| Publication Date | March 28, 2017, midnight |
| Registration Date | March 30, 2017, 11:44 a.m. |
| Last Update | March 14, 2018, 12:17 p.m. |
| CVSS3.0 : 重要 | |
| Score | 7.5 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| CVSS2.0 : 危険 | |
| Score | 7.8 |
|---|---|
| Vector | AV:N/AC:L/Au:N/C:C/I:N/A:N |
| Pandora Media, Inc. |
| Pandora (iOS アプリ) |
| No | Changed Details | Date of change |
|---|---|---|
| 0 | [2017年03月30日] 掲載 |
Feb. 17, 2018, 10:37 a.m. |
| 1 | [2018年03月14日] 参考情報：National Vulnerability Database (NVD) (CVE-2017-3194) を追加 |
March 14, 2018, 10:41 a.m. |
| Summary | Pandora iOS app prior to version 8.3.2 fails to properly validate SSL certificates provided by HTTPS connections, which may enable an attacker to conduct man-in-the-middle (MITM) attacks. |
|---|---|
| Publication Date | Dec. 16, 2017, 11:29 a.m. |
| Registration Date | Jan. 26, 2021, 1:23 p.m. |
| Last Update | Nov. 21, 2024, 12:25 p.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:pandora:pandora:*:*:*:*:*:iphone_os:*:* | 8.3.2 | ||||