また Baidu が – 今度は日本法人から Simeji プライバシーロックの脆弱性問題

バイドゥ株式会社からのお知らせというページで、Baidu の日本法人が、11月13～14日にかけて、Simeji プライバシーロックというアプリに関して、脆弱性というよりもこれは不正なコードが発見され(？)たとのことで、注意を促しています。

Simeji プライバシーロック

経緯を以下に記述しておきます。

11月13日 20:00
Simeji ブランドで提供する別アプリ「Simeji プライバシーロック」(ver. 2.0.1.63 )について検証した結果、本アプリに Moplus SDK は使用されていないことを確認しました。しかしながら、別の危険性を含む可能性のある共有コードの使用を確認しました。そのコードによりローカル通信サービスが起動し、特定の条件において悪意のある第三者がその API にアクセスして端末の識別につながる情報を獲得することが可能になっています。なお、この問題によって端末のアプリとデータが改ざんされることはありません。
この脆弱性に対応するため、本日14時44分にアップデート（ver. 2.0.1.71）を Google Playに公開しましたが、現時点（19時30分）では Google Play より閲覧できない状況になっております。この事象について Google Play 側と連絡をとっております。新しいバージョン（ver. 2.0.1.71）が公開されるまでは「Simeji プライバシーロック」をアンインストールいただけますようお願い申し上げます。

11月14日 4:00
本日、さらに調査を進めた結果、以下の内容が判明しました。
すでに削除対応しましたコードは端末に Notification（情報をプッシュ通知）する機能として搭載されておりましたが、このコードによりセキュリティホールが発生する可能性があり、悪意ある第三者がそのセキュリティホールから端末の情報を獲得できる可能性があったことが分かりました。
現在は該当のコードを削除したのち、最新バージョン（ver. 2.0.1.71）が Google Play に反映されております。
※ユーザーさまはすぐに更新してくださいますようお願い申し上げます。
https://play.google.com/store/apps/details?id=com.szipcs.simejiprivacylock

＜今後について＞
Simeji プライバシーロックは外部 OEM 製品を使っており、外部で開発されたソースコードを利用しています。この外部開発のソースコードに対するチェックが弊社内で不十分でした。バイドゥは、このような事象を深く受け止め、OEM 製品を利用する場合のチェック体制を強化いたします。体制ができるまでは OEM 製品の活用を停止します。※Simeji 本体は関連ありません。
※Simeji プライバシーロックは Android 版のみの提供です。

＜影響範囲＞
Simejiプライバシーロック（Android版のみ提供）
アプリ：累計ダウンロード数　4,560

Baidu 日本法人の記事はこちらです。

どんなアプリなのかというと、「最高にイケてるプライバシーロックアプリ」という触れ込みで、他のアプリが画像などにアクセスすることを制御する事ができるアプリのようです。

多くの方がダウンロードしているでは無い模様ですね。(この発表が本当なら)

しかしまた、他社製品の責任としていますが、いくらなんでも多すぎるでしょう。

ちなみに Baidu が引き起こしたセキリティに関連する問題は、こんな感じなのですよ。(一部引用)

■ IME 入力情報無断送信 → バグでした
■ 他社サーバーに 30万回アクセス → 中国にいる研究員が勝手にやりました
■ BaiduIME がソフトを勝手にインストール → 障害でした
■ Simeji 詐欺広告 → 代理店が勝手にやりました
■ バックドア → 脆弱性でした
■ プライバシーロック → OEM 製品に問題があり、チェック体制を強化します

今回の Baidu プライバシーロックに関してのことは、一応はちゃんと問題が有ったことを説明していることは認めますし、既に悪意を持ったコードを削除したバージョンを提供済みであるのは、対処が速いとは思います。

引き続き利用するしないは、個人の判断に委ねられる訳ですが、注意は怠らない方が良いですね。

minorus

電子機器が大好きです。
プログラムを書くのをお仕事としていたこともあるので、両方できる PIC や Arduino を使って、いろいろな（役にあんまり立たない）ものを作っています。
実は UNIX 関連のお仕事も長かったので、Raspberry Pi もお手の物なのですけれど、これから触る機会が多くなるのかなぁ。
ボチボチ行きますが、お付き合いください。
若いころの写真なので、現時点では、まだ髪の毛は黒くてありますが、お髭は真っ白になりました。
愛車の国鉄特急カラーのカスタムしたリトルカブで、時々、秋月電子通商の八潮店に出没します。