NVD Vulnerability Detail
Search Exploit, PoC
CVE-2012-4929
Summary

The TLS protocol 1.2 and earlier, as used in Mozilla Firefox, Google Chrome, Qt, and other products, can encrypt compressed data without properly obfuscating the length of the unencrypted data, which allows man-in-the-middle attackers to obtain plaintext HTTP headers by observing length differences during a series of guesses in which a string in an HTTP request potentially matches an unknown string in an HTTP header, aka a "CRIME" attack.

Publication Date Sept. 16, 2012, 3:55 a.m.
Registration Date Jan. 28, 2021, 3:04 p.m.
Last Update Nov. 21, 2024, 10:43 a.m.
CVSS2.0 : LOW
Score 2.6
Vector AV:N/AC:H/Au:N/C:P/I:N/A:N
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC) 高
攻撃前の認証要否(Au) 不要
機密性への影響(C) 低
完全性への影響(I) なし
可用性への影響(A) なし
Get all privileges. いいえ
Get user privileges いいえ
Get other privileges いいえ
User operation required いいえ
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:7.0:*:*:*:*:*:*:*
Configuration2 or higher or less more than less than
cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:*
cpe:2.3:a:google:chrome:*:*:*:*:*:*:*:*
Related information, measures and tools
Common Vulnerabilities List
JVN Vulnerability Information
Android OS が CRIME 攻撃による影響を受けてしまう問題
Title Android OS が CRIME 攻撃による影響を受けてしまう問題
Summary

Android OS での TLS プロトコルの実装には、平文の HTTP ヘッダを取得されてしまう脆弱性が存在します。 TLS プロトコルでは、サーバおよびクライアントにて通信する際にデータを圧縮する機能があります。この機能がサーバとクライアントで有効になっている場合、暗号化された元データの長さを適切に保護していない状態で圧縮したデータを暗号化をしてしまうため、平文の HTTP ヘッダを取得されてしまう脆弱性が存在します。Android OS の TLS プロトコル実装は、本脆弱性の影響を受けます。 なお、この脆弱性を悪用し、平文の HTTP ヘッダを取得する攻撃は、通称 CRIME 攻撃と呼ばれています。

Possible impacts 中間者攻撃 (man-in-the-middle attack) が可能な第三者が CRIME 攻撃を行うことにより、平文の HTTP ヘッダを取得される可能性があります。
Solution

[アップデートする] 開発者や販売元が提供する情報をもとにアップデートを適用してください。
Publication Date July 22, 2016, midnight
Registration Date July 22, 2016, 2:10 p.m.
Last Update April 18, 2025, 4:28 p.m.
Affected System
Google
Android OS 4.1.2 およびそれ以前のバージョン
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
0 [2016年07月22日]
  掲載		 Feb. 17, 2018, 10:37 a.m.
1 [2025年04月18日]
  参考情報：JVN (JVNVU#92488108) を追加
  参考情報：ICS-CERT ADVISORY (ICSA-25-105-08) を追加		 April 18, 2025, 4:28 p.m.