ESファイルエクスプローラーでUserディレクトリの中身が外部から見られてしまう恐れ

by しおんぐ · 2012年2月12日

本ページはアフィリエイトプログラムによる収益を得ています。

Tweet

Pocket

注意　アクセス制限がなく　アクセスがそのままできたとしても

　　　　不正アクセス禁止法の対象になる場合があるようです

　　　　これは　こういう事象もあるため　操作に注意してください　という記事ですので

　　　　Moperaのネットワークをスキャンするようなことは　決してしないでください

事象

Android端末のファイルマネージャーとして　1・2を争うぐらい　便利に使える

ESファイルマネージャーなのですが　特定条件で　外部からファイルが参照できてしまうようです。

事の発端はSGS2をいじっているときに

ESファイルエクスプローラーの「ネット」タブに

DropBOXをマウントし　音楽ファイルを再生すると

プレーヤーのファイル名の欄に　127.0.0.1:～のアドレスが表示され

「もしかして　ローカルに鯖たててる？！！！」　と

不安に思い検証してみました。

—

追記

—

ネットのタブだけでなくFTP・LANのタブでも同じ挙動をします。

ローカルファイルでも　操作により　発動します　⇒検証3

音楽ファイルだけでなく　MP4などの動画ファイルでも発動します。

画像では発動せず。

—-追記ココまで—

IPアドレスが　自宅Wifiで振られたIP　ポート番号は　決め打ちです

はい。。。　中身がまるっと見えちゃいました。。。

画像などもぜんぶ参照できちゃいます。

↓ScreenShotフォルダを参照した状態

特定条件でしか発動しないとはいえどうなのよこの仕様。。。

Bloger的には画像が参照しやすくていいですが

WANからも見れてしまう場合完全にセキュリティホール。

検証1:ローカルにある音楽ファイルを再生した場合　外部からみれるか

一般的なパターンで　端末内にある　MP3をタップして

メディアプレーヤーで再生する場合。

→

発動せず。

検証2　auのNAT内から　NAT同士だと見れてしまうのか？

結論　同じNATに入ってればみれる

Twitpic – Share photos and videos on Twitter

 

↑はぼくの回線のなかにあるわけじゃないですが

auの回線上からみえちゃってます。。。

 

 

NATなので　収容している鯖が違えば　見えることはありませんが

数千・数万収容されてる可能性がある中では・・・

 

 

au回線はNATなので　キャリア外からアクセスされることは

よっぽどの限りありませんが　

この仕様だと　グローバルIPが割り当てられた場合　まるっとみれることになります。

そして　ESファイルエクスプローラーの作者に悪意があったとしたら・・・

 

 

今のところ思いつく対策は　　ESファイルマネージャを使用する場合は

自宅Wifi以外では　FTP/LAN/ネットタブのオーディオ・ビデオファイルを再生しない　ぐらいでしょうか？

 

———————

追記

 

Galaxys2だったのでSDカードと書いていましたが

どうやら　非ROOTで見れるUserデータすべてを読めてしまうようです。

———–

DocomoのMoperaだと　

グローバルIPが割り当てされるため　

　もろ　世界から見えてしまうようです。

これがいちばんやばそう

ESファイルエクスプローラーのアプリ作者さんにお願いしたいこと

　　HTTPを使い内部で再生するのはいい　ただ外部（127.0．0.1以外）からのアクセス制限ぐらいつけてくれ・・・

検証3

もしかして　違うポート番号もホストしてないだろうか

とりあえず　ローカルメディアを標準メディアプレーヤーで再生しながら　nmapたたいてみる

33003と23486はESファイルエクスプローラーを起動しなくても上がっていました

33003はアクセスしてもなにもでず

23486は何かバイナリっぽい1kb以下のファイルが落ちてきました。

なにも出ないよかった。。。　　と安心しながら

ESメディアプレーヤーで再生してみると・・・・

おい　おい　・・・　　空いてるポート増えてるぞ・・・

でその増えた35854ですが・・・

ホストしてました。。。

ローカルのメディアファイルであっても　ESメディアプレーヤーを使用した場合

HTTPで公開されてしまうようです。。。　　これだいぶやばくね？

対策としては

・ESファイルマネージャを対策がされたバージョンが出るまで使わない

・使う場合は　自宅ネットワークなど　外部からアクセスされない環境を使う

・IPtableで　外部からの接続を　カットする

検証結果脅威まとめ

Docomo（SPMode）:　未検証

Docomo（Mopera）　:　WAN側からのアクセスが可能

S　B　M(グローバル)：WAN側からのアクセスが可能

S　B　M(プライベート)：未検証

au　：　同じNATネットワーク内だと　アクセス可能

e-mobile（グローバル）:WAN側からアクセスが可能

e-mobile(ローカル)：未検証

作者に直接コンタクトを取ってくれた方がいて

　「テストコードが残ったままでした。」という回答でしたが

2/16朝現在Androidマーケットへの　この問題に対応したバージョンは出てきていません。

　それどころが　2/12のアップデート(1.6.1.0→1.6.1.1)で

　59768だった　ポート番号が59767に変更されています。

若干悪意があるように思えてしまうのですがはたして・・・

関連記事:

• 楽天ポイントの消化がてら　注文した　牛タンが　意外とおいしかった件について
• ソフトバンク、迷惑メールフィルターの不具合により1030万件のメールを受信できず。
• ISW11SCのバッテリーが到着
• ソフトバンク、「ギガ使い放題キャンペーン」を9月まで延長 。
• 【amazon】Anker製品が特選タイムセール対象なり【9月24日限定】
• あ！っという間にすぐに沸く！　ですら待ちきれないので瞬間湯沸かしポットを入手してみた。
• アマゾンアソシエイトが　6月より　PCソフト・おもちゃを　2%固定へ
• T-01Aの充電ケーブル

Tweet

Pocket

おすすめ

• 0

  【Aliexpress】アプリ内ミニゲーム「Glow to Get」の景品がちゃんと届いた。

  2024年5月11日

• 0

  XperiaZ3で「カメラを利用できません」になるのは「Twitter」アプリが原因か？

  2016年7月4日

• 0

  au/Docomo/SoftbankがAndroid5.0への対応予定を公開。

  2015年6月5日