| 概要 | On iOS and Android devices, the ShoreTel Mobility Client app version 9.1.3.109 fails to properly validate SSL certificates provided by HTTPS connections, which means that an attacker in the position to perform MITM attacks may be able to obtain sensitive account information such as login credentials. |
|---|---|
| 公表日 | 2018年7月14日5:29 |
| 登録日 | 2021年1月26日14:15 |
| 最終更新日 | 2024年11月21日11:56 |
| CVSS3.0 : HIGH | |
| スコア | 7.5 |
|---|---|
| ベクター | CVSS:3.0/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 攻撃元区分(AV) | 隣接 |
| 攻撃条件の複雑さ(AC) | 高 |
| 攻撃に必要な特権レベル(PR) | 不要 |
| 利用者の関与(UI) | 不要 |
| 影響の想定範囲(S) | 変更なし |
| 機密性への影響(C) | 高 |
| 完全性への影響(I) | 高 |
| 可用性への影響(A) | 高 |
| CVSS2.0 : LOW | |
| スコア | 2.9 |
|---|---|
| ベクター | AV:A/AC:M/Au:N/C:P/I:N/A:N |
| 攻撃元区分(AV) | 隣接 |
| 攻撃条件の複雑さ(AC) | 中 |
| 攻撃前の認証要否(Au) | 不要 |
| 機密性への影響(C) | 低 |
| 完全性への影響(I) | なし |
| 可用性への影響(A) | なし |
| 全ての特権を取得 | いいえ |
| ユーザー権限を取得 | いいえ |
| その他の権限を取得 | いいえ |
| ユーザー操作が必要 | いいえ |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:mitel:shortel_mobility_client:9.1.3.109:*:*:*:*:android:*:* | |||||
| cpe:2.3:a:mitel:shortel_mobility_client:9.1.3.109:*:*:*:*:iphone_os:*:* | |||||
| タイトル | スマートフォンアプリ「ShoreTel Mobility Client」に SSL サーバ証明書の検証不備の脆弱性 |
|---|---|
| 概要 | スマートフォンアプリ「ShoreTel Mobility Client」は、HTTPS 通信で使用される SSL サーバ証明書を正しく検証しないため、中間者攻撃 (man-in-the-middle attack) が行われる可能性があります。 |
| 想定される影響 | 当該アプリが動作する iOS デバイスと同一のネットワークに接続している攻撃者によって、HTTPS 通信の内容を盗聴されたり改ざんされたりする可能性があります。結果として、サーバにログインする際の認証情報など、機微な情報を取得される可能性があります。 |
| 対策 | [アップデートする] 開発者が提供する情報をもとに、最新版へアップデートしてください。 開発者は iOS アプリにおいては本脆弱性を修正した version 9.1.5.104 をリリースしています。 ただし、2017年2月8日現在、Android アプリの修正版は リリースされていないようです。 [ワークアラウンドを実施する] 次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。 * 公共 Wi-Fi を含め、信頼できないネットワークに接続しない |
| 公表日 | 2017年1月3日0:00 |
| 登録日 | 2017年1月5日12:09 |
| 最終更新日 | 2019年7月5日16:50 |
| ShoreTel, Inc. |
| ShoreTel Mobility Client (Android 版) version 9.1.3.109 およびそれ以前 |
| ShoreTel Mobility Client (iOS 版) version 9.1.5.104 およびそれ以前 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 0 | [2017年01月05日] 掲載 [2017年02月15日] タイトル：内容を更新 概要：内容を更新 影響を受けるシステム：内容を更新 対策：内容を更新 |
2018年2月17日10:37 |
| 1 | [2019年07月05日] 参考情報：National Vulnerability Database (NVD) (CVE-2016-6562) を追加 |
2019年7月5日16:49 |