アカウント名:
パスワード:
先月タレコんだ [srad.jp]のですが、残念ながら却下されてしまったので、ここに書いておきます。
Android 4.3(Jelly Bean)以前のバージョンの Android OS(4.3 を含む)には、悪意のあるコードを含むWebページをロードしただけで、Google Play ストア上の任意のアプリをインストール・実行可能な脆弱性が複数あることが判明しています(Silent but violent: Foul Google Play flaw lets hackers emit smelly apps [theregister.co.uk])。
攻撃の手法には、標準ブラウザ または WebView を利用したブラウザ・アプリ内の広告表示枠等で UXSS(Universal Cross Site Scripting)を行う方法の他、GPS 機能の XSS(Cross Site Scripting)脆弱性を突く方法があります(
> このような Google の対応は、大変無責任ではないでしょうか?
Googleは脆弱性を修正したマイナーバージョンアップを提供しているだろ?無責任なのは、それを配布しようとしないキャリアだと思うが。
Googleは脆弱性を修正したマイナーバージョンアップを提供しているだろ? 無責任なのは、それを配布しようとしないキャリアだと思うが。
Androidは本当にオープンなのか [it.srad.jp] でも話題になったように、Googleは、端末メーカーと交わしているMADA(Mobile Application Distribution Agreement)という合意書(機密扱いだが訴訟の過程で明らかになった)で、ホーム画面に設置するアプリや検索エンジンなど、ありとあらゆる条件を押し付けています。従って、「デバイスメーカーは自由にAndroidを改変してあらゆる範囲の機能にカスタマイズできる」というGoogleの主張は大嘘であったこ
> Android ブランドの信頼性を守るために、○年間はアップデートに> 対応しなければならないといった条項を含めることもできた訳です。> 従って、Google に責任があると思います。
キャリア様が働かないことを見越して、契約でアップデートを強制させなかったから、キャリア様じゃなくてGoogleに責任があると。なるほどなるほど。
> Google は、Android 4 シリーズのアップデートは、脆弱性と> バグの修正だけに留めて、それを Android 4 の公開から5年ぐらいは> 維持していればよかったと思います。
その働かないキャリア様が、なんでバグ修正だけのパッチは配布すると思うの?「最低限の検証だけで」って、それだって結構なマンパワーが発生するのに。
あと、5年もの長期間サポートを要求するのは、ちょっと酷じゃないかな……。もう少し手心を……。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
あと、僕は馬鹿なことをするのは嫌いですよ (わざとやるとき以外は)。-- Larry Wall
Android 4.3 以前 を安全に使う方法 (スコア:5, 参考になる)
先月タレコんだ [srad.jp]のですが、残念ながら却下されてしまったので、ここに書いておきます。
Android 4.3(Jelly Bean)以前のバージョンの Android OS(4.3 を含む)には、悪意のあるコードを含むWebページをロードしただけで、Google Play ストア上の任意のアプリをインストール・実行可能な脆弱性が複数あることが判明しています(Silent but violent: Foul Google Play flaw lets hackers emit smelly apps [theregister.co.uk])。
攻撃の手法には、標準ブラウザ または WebView を利用したブラウザ・アプリ内の広告表示枠等で UXSS(Universal Cross Site Scripting)を行う方法の他、GPS 機能の XSS(Cross Site Scripting)脆弱性を突く方法があります(
Re: (スコア:0)
> このような Google の対応は、大変無責任ではないでしょうか?
Googleは脆弱性を修正したマイナーバージョンアップを提供しているだろ?
無責任なのは、それを配布しようとしないキャリアだと思うが。
「アップデート」に余計な機能・UIの変更を含めるGoogleが悪い (スコア:2)
Androidは本当にオープンなのか [it.srad.jp] でも話題になったように、Googleは、端末メーカーと交わしているMADA(Mobile Application Distribution Agreement)という合意書(機密扱いだが訴訟の過程で明らかになった)で、ホーム画面に設置するアプリや検索エンジンなど、ありとあらゆる条件を押し付けています。従って、「デバイスメーカーは自由にAndroidを改変してあらゆる範囲の機能にカスタマイズできる」というGoogleの主張は大嘘であったこ
Re:「アップデート」に余計な機能・UIの変更を含めるGoogleが悪い (スコア:0)
> Android ブランドの信頼性を守るために、○年間はアップデートに
> 対応しなければならないといった条項を含めることもできた訳です。
> 従って、Google に責任があると思います。
キャリア様が働かないことを見越して、契約でアップデートを強制させなかったから、
キャリア様じゃなくてGoogleに責任があると。なるほどなるほど。
> Google は、Android 4 シリーズのアップデートは、脆弱性と
> バグの修正だけに留めて、それを Android 4 の公開から5年ぐらいは
> 維持していればよかったと思います。
その働かないキャリア様が、なんでバグ修正だけのパッチは配布すると思うの?
「最低限の検証だけで」って、それだって結構なマンパワーが発生するのに。
あと、5年もの長期間サポートを要求するのは、ちょっと酷じゃないかな……。
もう少し手心を……。