あとでよむ

「あとでよむ」というAndroid向けアプリとWebサービスを提供しています。

GAEのバージョンアップを追いかけきれなくて、

と言われたまま長らく放置していたけれど、今日になって「最近同期ができない」というユーザさんからのクレームを3件もいただいたので、ちょっと調べてみました。
google.appengine.runtime.DeadlineExceededError が出ているのはMaster/Slaveだからか…。ちょっと仕事が落ち着いた?ので今のうちにえいやっとHRDにmigrateしようと思います。（2日に1回寝る生活から毎日寝る生活に戻ってきた）

2013年を振り返る

2013年も！みなさんに！お世話になりましたm(_ _)m

今年一番の大事件は生年月日を晒したことですねー。
ちなみに去年一番の大事件は本名をネットに晒したことでした←

つらつらと自分メモとして一年を振り返っておきます。
特におもしろいことは書いてないです(ヾﾉ･ω･`)ﾅｲﾅｲ

Androidの脆弱性（まとめ版）

JVN#53768697 Android OS において任意の Java のメソッドが実行される脆弱性 について見つけたいきさつを記事にしました。
こちらは長いので、ざっくりバッサリ、なるべく簡潔に、何ができちゃうのか・何がヤバいのかをまとめます。

【原因】
WebViewの addJavascriptInterface()の危険性（参考）が、Android 3.x／4.0／4.1 ではWebViewそのものに存在する。
このためWebViewをそのまま使っているアプリや、WebViewのラッパにすぎない標準ブラウザに同様の脆弱性がある。（Android版ChromeはWebViewを使っていないので問題ないです）

【何ができてしまうか】
JVNに書かれている通り

Android 標準ブラウザや WebView クラスを利用しているアプリで、細工されたウェブページを閲覧した際に、ユーザの意図に反して Android OS の機能を起動されたり、任意のコードを実行されたりする可能性があります。

なのですが、標準ブラウザでできてしまうことの一例を具体的に挙げてみます。

• Intentを飛ばして他アプリを起動できる
• Androidの端末情報を読み込まれてしまう（Android.os.BuildやWi-Fi情報など）
• アクセスしただけでこっそりファイルをダウンロードされる
• 外部ライブラリを実行できる（任意のネイティブコードを実行できる）
• こっそりダウンロードと組み合わせたら…((((；ﾟДﾟ))))
• 標準ブラウザが保持しているCookieやユーザ名・パスワードを読み込まれてしまう
• それをAjax等でサーバに送ることもできるので…((((；ﾟДﾟ))))

これはいずれも1年以上前に実際に検証したもの。これ以外にもたくさんのイタズラができてしまうと思います。

【あかんコード】
Androidのソースを追っていて「！！！」となったのはこの一行。
お察しください。

【対策】

• 最新版OSを使ってください。各メーカーが提供している最新OSを使ってください。
• 標準ブラウザを使わないでください。Android版Chromeなら大丈夫です。WebViewも使われていないはずです。※他のブラウザソフトは表示エンジンにWebViewを使っている可能性があるので安全とは言いきれません。

個人的にはWebView全般に影響があることよりも標準ブラウザに穴があるということの方がインパクトが大きい気がしています。危険なアプリを入れなくても、普通にブラウザを使っているだけで悪意あるコードが実行されたりブラウザが持っている情報（Cookieなど）が抜かれてしまうので。。

Androidの脆弱性を見つけちゃった話

JVN#53768697 Android OS において任意の Java のメソッドが実行される脆弱性 が公表されました。
不肖私が昨年9月にIPAに届け出たものです。
これまでは情報非開示依頼があったので多くを語ることができませんでした。
ヤバい内容なのでみんなに注意喚起したかったけれどそれができない苦しさ。
周りでICS端末を使ってる人を見かけたら「事情は言えないけどブラウザにはChromeを使って。標準ブラウザ使わないで」と言うくらいしかできなくて申し訳ありませんでしたm(_ _)m

当時のいきさつを日記から掘り起こして記録に残しておきたいと思います。

大都会にコメダができたそうな

大都会岡山 Advent Calendar 2013 12日目です。
「あれから1年」というネタを書こうと思っていたけれど、今年はあまり大都会とご縁がなかったのでテーマを変えて。
11月28日にオープンしたコメダ珈琲店 岡山大福店で大都会進出を果たしたコメダ珈琲店の紹介をします☆

お好み焼きの後日(?)談

すごい広島 Advent Calendar 2013 2日目の3部作（1 2 3）を踏まえて、お昼ごはんでリベンジしてみました。
2枚分のお好み焼き粉だったので半分残った材料を使っただけ。
あ、今日ももやしはないです（買い物に行ってないから）

お好み焼きを作りました（感想戦）

すごい広島 Advent Calendar 2013 2日目、3つめのエントリです。これで最後です。
お好み焼き作りの感想戦（反省点のまとめ）