CVE-2026-68927 in MobSF
要約
〜によって VulDB • 2026年08月18日
MobSFは、モバイルアプリケーションのセキュリティテストに使用されるツールです。バージョン4.5.1より前では、`mobsf/StaticAnalyzer/views/android/manifest_analysis.py`内の`get_browsable_activities`関数は、Androidマニフェストの`android:host`値のみを`valid_host`で検証し、別途指定された`android:port`をURLに追加していました。これにより、認証済みユーザーが攻撃者が選択した非標準ポートに対してリクエストを行うように仕向けられた改ざんされたAPKをアップロードでき、`.well-known/assetlinks.json`へのアクセスが可能になります。攻撃者が制御するホスト名と、検証から`requests.get`接続までの間のDNSリバインディングを利用することで、リダイレクトが無効化されパスが固定されている場合でも、内部サービスに到達することが可能です。この問題はバージョン4.5.1で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.