GV-Faceアプリが認証情報を平文送信、2.2.2で修正
GeoVisionのAndroidアプリGV-Face 2.2.1が、ログインの認証情報を暗号化されないHTTPで送っていました。利用中の組織は版を確認して2.2.2に更新し、旧版で使ったパスワードの変更も検討してください。
急ぎ度: 早めに
CVSS v4が10.0と最高値で、通信を覗ける位置にいる相手に認証情報を読まれる性質ですが、修正版の2.2.2がすでにあり、更新で解消できます。
関係があるか
GeoVisionのAndroidアプリGV-Faceを業務用の端末や従業員のスマートフォンに入れている組織が対象です。版が2.2.1の端末が影響を受けます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| GV-Face（Androidアプリ） | 2.2.1 | 2.2.2 |
確かめ方
- 1Androidの設定でアプリ情報を開き、GV-Faceの版が2.2.1かどうかを見ます。
- 2MDMなどで端末のアプリ一覧を管理しているなら、GV-Faceの版で絞り込んで2.2.1の端末を洗い出します。
- 32.2.1より前の版が影響を受けるかどうかは、GeoVisionのセキュリティ告知（文書番号GV-Eye-2026-09-01）で確認します。
何が起きたか
GV-FaceのAndroidアプリ2.2.1は、ログインに使う認証情報と、それに関連する認証データを、暗号化されないHTTPで送信します。通信の途中を覗ける相手がいれば、中身をそのまま読めてしまいます。
CWEの分類はCWE-319（重要な情報の平文での送信）です。2026年11月10日に公表され、CVSS v4は10.0、深刻度はcriticalと評価されています。
CVEの記録では、2.2.2が影響を受けない版とされています。
攻撃の流れ
-
1
アプリでログイン
利用者がGV-Face 2.2.1で通常どおりログインします。
-
2
HTTPで送信
認証情報と関連データが暗号化されないまま通信路に出ます。
-
3
通信を傍受
通信の経路上にいる相手が内容を読み取ります。
-
4
認証情報の悪用
読み取られた認証情報で、本人になりすましたアクセスが懸念されます。
どう悪用されるか
悪用には、利用者の端末とサーバーのあいだの通信を傍受できる位置にいることが要ります。CVSS v4のベクターでは、攻撃側に事前の認証や利用者の操作は不要とされています。
傍受に成功すると、認証情報と関連する認証データが平文で読まれます。盗まれた情報でGV-Faceのサービスに本人として入られ、機密性・完全性・可用性のすべてに高い影響が出うると評価されています。
今すぐやること
-
1
GV-Faceを2.2.2に更新する
2.2.1を使っている端末を洗い出し、2.2.2に更新します。更新の配布を利用者任せにしている場合は、更新の案内を出します。
-
2
旧版で使った認証情報を見直す
2.2.1でログインしたことのあるアカウントは、パスワードの変更を検討します。ほかのサービスと同じパスワードを使っていたなら、そちらも変えます。
-
3
不審なログインの跡を調べる
サービス側のログイン履歴に、心当たりのない時間帯や場所からのアクセスがないかを見ます。
-
4
ベンダーの告知で範囲を確かめる
GeoVisionのセキュリティ告知（GV-Eye-2026-09-01）で、ほかの版やほかの製品への影響、追加の対策がないかを確認します。
すぐ更新できないとき
更新が済むまでのつなぎとして、2.2.1でのログインを避けます。やむを得ず使うなら、他人が接続できる公衆Wi-Fiなどを避け、VPNなど暗号化された経路を通します。ただし根本的な解消にはならないため、更新までの短い期間に限ります。
背景
GeoVisionは台湾の企業で、監視カメラや入退室管理の機器を手がけています。GV-Faceはその製品群のAndroidアプリで、ログインの情報を扱います。
通信を暗号化しない問題は、アプリ側がHTTPを使い続けるだけで起きます。端末やサーバーに侵入する必要はなく、利用者が公衆Wi-Fiや見知らぬネットワークに接続した場面で現実味を帯びます。入退室や映像に関わるサービスの認証情報が読まれれば、守りたい施設や映像への入口を渡すことになるため、更新の優先度が上がります。
よくある質問
Q.社内の閉じたネットワークだけで使っていても、更新は要りますか。
Q.iOS版やほかのGeoVision製品も同じ問題を抱えていますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
GV-Face transmits sensitive user credentials and
related authentication data over unencrypted HTTP connections. The HTTP
traffic is not encrypted, an attacker with the ability to intercept network
traffic.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web dlcdn.geovision.com.tw
- web nvd.nist.gov
- web github.com