NVD脆弱性詳細

Exploit、PoC検索

NVD脆弱性検索トップ

->

NVD脆弱性詳細

CVE-2012-6636

概要	The Android API before 17 does not properly restrict the WebView.addJavascriptInterface method, which allows remote attackers to execute arbitrary methods of Java objects by using the Java Reflection API within crafted JavaScript code that is loaded into the WebView component in an application targeted to API level 16 or earlier, a related issue to CVE-2013-4710.
公表日	2014年3月3日13:50
登録日	2021年1月28日15:08
最終更新日	2024年11月21日10:46

CVSS2.0 : MEDIUM
スコア	6.8
ベクター	AV:N/AC:M/Au:N/C:P/I:P/A:P
攻撃元区分(AV)	ネットワーク
攻撃条件の複雑さ(AC)	中
攻撃前の認証要否(Au)	不要
機密性への影響(C)	低
完全性への影響(I)	低
可用性への影響(A)	低
全ての特権を取得	いいえ
ユーザー権限を取得	いいえ
その他の権限を取得	いいえ
ユーザー操作が必要	いいえ

影響を受けるソフトウェアの構成

構成1		以上	以下	より上	未満
cpe:2.3:a:google:android_api:6.0:::::::*
cpe:2.3:a:google:android_api:15.0:::::::*
cpe:2.3:a:google:android_api:3.0:::::::*
cpe:2.3:a:google:android_api:8.0:::::::*
cpe:2.3:a:google:android_api:11.0:::::::*
cpe:2.3:a:google:android_api:9.0:::::::*
cpe:2.3:a:google:android_api:2.0:::::::*
cpe:2.3:a:google:android_api:12.0:::::::*
cpe:2.3:a:google:android_api:7.0:::::::*
cpe:2.3:a:google:android_api:1.0:::::::*
cpe:2.3:a:google:android_api:13.0:::::::*
cpe:2.3:a:google:android_api:14.0:::::::*
cpe:2.3:a:google:android_api:4.0:::::::*
cpe:2.3:a:google:android_api::::::::			16.0
cpe:2.3:a:google:android_api:5.0:::::::*
cpe:2.3:a:google:android_api:10.0:::::::*

関連情報、対策とツール

No	URL	refsource	タグ
1	http://50.56.33.56/blog/?p=314
2	http://50.56.33.56/blog/?p=314
3	http://developer.android.com/reference/android/os/Build.VERSION_CODES.html#JELLY_BEAN_MR1
4	http://developer.android.com/reference/android/os/Build.VERSION_CODES.html#JELLY_BEAN_MR1
5	http://developer.android.com/reference/android/webkit/WebView.html#addJavascriptInterface%28java.lang.Object%2C%20java.lang.String%29
6	http://developer.android.com/reference/android/webkit/WebView.html#addJavascriptInterface%28java.lang.Object%2C%20java.lang.String%29
7	http://jvn.jp/en/jp/JVN62161191/index.html
8	http://jvn.jp/en/jp/JVN62161191/index.html
9	http://openwall.com/lists/oss-security/2014/02/07/9
10	http://openwall.com/lists/oss-security/2014/02/07/9
11	http://www.cs.utexas.edu/~shmat/shmat_ndss14nofrak.pdf		Exploit
12	http://www.cs.utexas.edu/~shmat/shmat_ndss14nofrak.pdf		Exploit
13	http://www.internetsociety.org/ndss2014/programme#session3
14	http://www.internetsociety.org/ndss2014/programme#session3
15	https://support.lenovo.com/us/en/product_security/len_6421
16	https://support.lenovo.com/us/en/product_security/len_6421

共通脆弱性一覧

No	CWE	名前	URL
1	CWE-264	認可・権限・アクセス制御	https://cwe.mitre.org/data/definitions/264.html

JVN脆弱性情報

Android API における Java オブジェクトの任意のメソッドを実行される脆弱性

タイトル	Android API における Java オブジェクトの任意のメソッドを実行される脆弱性
概要	Android API は、WebView.addJavascriptInterface メソッドを適切に制限しないため、Java オブジェクトの任意のメソッドを実行される脆弱性が存在します。本脆弱性は、CVE-2013-4710 と関連する問題です。
想定される影響	第三者により、API レベル 16 以前が対象のアプリケーションの WebView コンポーネントに読み込まれる、巧妙に細工された JavaScript コードの Java Reflection API を使用されることで、Java オブジェクトの任意のメソッドを実行される可能性があります。
対策	ベンダ情報および参考情報を参照して適切な対策を実施してください。
公表日	2014年2月7日0:00
登録日	2014年3月4日17:49
最終更新日	2014年3月4日17:49

影響を受けるシステム

Google

Android API 17 未満

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2012-6636	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-6636
National Vulnerability Database (NVD)
2	CVE-2012-6636	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-6636

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-264	https://jvndb.jvn.jp/ja/cwe/CWE-264.html

ベンダー情報

No	名前	URL
Android Developers
1	public static final int JELLY_BEAN_MR1	http://developer.android.com/reference/android/os/Build.VERSION_CODES.html#JELLY_BEAN_MR1
2	public void addJavascriptInterface (Object object, String name)	http://developer.android.com/reference/android/webkit/WebView.html#addJavascriptInterface%28java.lang.Object,%20java.lang.String%29

その他

No	名前	URL
関連文書
1	Re: CVE request: multiple issues in Apache Cordova/PhoneGap	http://openwall.com/lists/oss-security/2014/02/07/9

変更履歴

No	変更内容	変更日
0	[2014年03月04日] 掲載	2018年2月17日10:37