Shelterに重大な脆弱性、CVSS 9.8で修正版は未公表
Android向けアプリShelterのversionCode 445に、認証の不備による脆弱性が見つかりました。端末にShelterを入れている個人や、BYOD端末で使わせている組織が対象です。まず版を確認し、配布元の告知を追って修正版が出たら更新してください。
急ぎ度: 早めに
CVSSは9.8の緊急ですが、KEVへの掲載を示す情報はなく、修正版の案内もまだないため、版の確認と配布元の監視を早めに始める段階です。
関係があるか
Android端末にShelterを入れて使っている個人と組織です。業務端末や持ち込み端末（BYOD）で、従業員が自分でShelterを入れている場合も含みます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Shelter（パッケージ名 net.typeblog.shelter） | versionCode 445 | 不明（F-DroidとGitHubの告知を参照） |
確かめ方
- 1端末のアプリ情報でShelterの版を開き、versionCodeが445かどうかを見る。画面に出ない場合は、F-Droidの配布ページの版一覧と照らし合わせる。
- 2PCとadbが使える環境なら、
adb shell dumpsys package net.typeblog.shelter | grep versionCodeで確認できる。 - 3組織では、MDMや資産台帳でShelterの導入端末を洗い出す。従業員が個人で入れている可能性があるため、申告を促すと漏れが減る。
何が起きたか
Shelterに、別の利用者の管理用の窓口と設定状態を第三者に奪われる恐れのある脆弱性が見つかりました。
報告された内容は、攻撃者が自分のauth_keyを登録でき、そのうえで別ユーザーのbinder service APIとpreference stateを乗っ取れるというものです。分類はCWE-287で、本来必要な認証が正しく働かない種類の不備です。
影響を受けると記載されているのはversionCode 445です。CVEは2026年10月29日に公開され、F-Droid向けのアドバイザリ集やGitHubのアドバイザリにも登録されています。
攻撃の流れ
-
1
端末に到達
攻撃者が、Shelterの入った端末の窓口にネットワーク経由で接続する。
-
2
鍵を登録
認証の不備を突き、自分のauth_keyを登録する。
-
3
窓口を奪う
登録した鍵で、別ユーザーのbinder service APIを操作できる状態になる。
-
4
設定を操作
preference stateまで握られ、Shelterの動作や設定が攻撃者の意のままになる。
どう悪用されるか
CVSSのベクターでは、ネットワーク経由で攻撃でき、事前の認証は不要、利用者の操作も要らず、攻撃の複雑さは低いと評価されています。条件が軽いため、該当する版が端末に残っているだけで評価上のリスクは高くなります。
悪用された場合、機密性・完全性・可用性のいずれも大きく損なわれる評価です。具体的には、Shelterのbinder service APIと設定状態を第三者が握り、Shelterが管理する領域の制御を奪われるおそれがあります。
今すぐやること
-
1
対象の版かを確認する
自分の端末、組織ならBYODを含む導入端末で、Shelterがversion Code 445かどうかを調べる。
adb shell dumpsys package net.typeblog.shelter | grep versionCode -
2
配布元の告知を追う
F-DroidのShelterのページとGitHubのリポジトリで、修正版の公開や対処の案内を定期的に見る。
-
3
修正版が出たら更新する
修正版が公開されたら、すぐに更新する。F-Droidの自動更新を使っていても、更新後にversionCodeが変わったかを確認する。
-
4
扱っているデータを洗い出す
Shelterの中に業務アプリや機密データを置いている端末を優先順位の高い端末として把握し、修正版が出るまでの扱いを決めておく。
すぐ更新できないとき
公式な回避策の案内は確認できていません。修正版が出るまでは、Shelterの中に置いている機密データやアカウントの範囲を減らすと被害を抑えられます。Shelterを削除すると、管理下のアプリとデータも消える場合があるため、先にバックアップと退避を済ませてください。
背景
ShelterはオープンソースのAndroidアプリで、F-Droidなどで配布されています。Androidの仕事用プロファイルの仕組みを使い、アプリを分けて動かしたり凍結したりする用途で知られています。私用と業務のアプリを1台で分けたい場合に使われやすく、BYODの現場では情シスが把握していないまま入っていることもあります。
今回の脆弱性は、Shelterが内部で使うbinder service APIの認証にかかわります。分離を担うアプリの制御窓口が奪われると、分けているはずの領域の前提が崩れかねません。分離の強さは、この制御窓口の認証にかかっています。
よくある質問
Q.F-Droidの自動更新を有効にしていれば安心ですか。
Q.社内でShelterを配っていない場合は関係ありませんか。
まだ分かっていないこと
- 修正版の有無と、versionCode 445以外の版が影響を受けるかは分かっていません。最新の状況は、F-Droidの配布ページとShelterのGitHubリポジトリで確認してください。
- 実際の攻撃で悪用されたかどうかは分かっていません。
- 攻撃が成立するための具体的な条件と、乗っ取られる『別ユーザー』がどの範囲を指すかは分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
An issue in Shelter versionCode 445 allows attackers to register their own auth_key and execute a takeover of another user's binder service API and preference state.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cve@mitre.org
- web github.com
- web github.com
- web nvd.nist.gov
- web f-droid.org
- web github.com