iOS 7〜9の脱獄で名を馳せ、iOS脱獄（Jailbreak、ジェイルブレイク）ハッカーグループで、現在はセキュリティ研究専門家達のグループとなっている中国のPangu Lab（盘古实验室）が、複数の顧客のiOSアプリに対してセキュリティ審査を行ったところ、共通するセキュリティホールを見つけたということです。
そしてこのセキュリティホールについてPangu LabがJanusプラットフォーム上でトレーサビリティ分析と類似セキュリティホールの検索を行ったところ、調査した全体の10％近いアプリがこのセキュリティホールの影響を受けることがわかりました。現在Pangu Labが作った特別サイトにそのリストが公開されていますが、なんとそのアプリ数は約16,000個（正確には記事更新時点で15,979個）にものぼっており、その中には日本のアプリもあります。
セキュリティホール”ZipperDown”の性質
このセキュリティホールは「ZipperDown」と名付けられていて、ユーザが安全でないWi-Fi環境（一般的には公共Wi-Fi接続環境や、接続にパスワードが必要ないWi-Fi環境、見知らぬ場所で見知らぬSSIDに接続する場合が安全でないWi-Fi環境に接続することになります）において、該当するアプリを利用してネットに接続して通信をすると、攻撃者がそのアプリの中で任意のコードを実行できる能力を持ったり、IPなどを詐称してなりすまして通信してしまうという性質のものです。
16000近いアプリが影響を受ける、中には日本のアプリも
ZipperDownの詳細については、Pangu Labはユーザのセキュリティを考慮した結果、現在のところ外部に対して公開されていません。またその影響する範囲が非常に広いことから、Pangu Labもその開発者1人1人や企業1つ1つに連絡していません。現在Panguはリスト形式で影響のあるアプリ名を公開していて、開発者に広く協力を求める形となっています。
そして現在のリストのトップには、3つの日本のiOSアプリが載っています。その3つとはボイスミーツガール（声優系ゲームアプリ）、フルールドスリジェ（大阪府茨木市の美容室の公式アプリ）、セゾンポイントモールとなっています。他にも、リストの中には日本のアプリと見られるものが散見されます。恐らく、どこかの開発プラットフォームかSDKで開発されたものがこの対象となっているものとみられます。
またPangu Labが調査したこともあり、中国のアプリも非常に大量に入っていて、特に有名どころではWeibo（中国版Twitter微博）、陌陌（ショート動画投稿サイト）、Netease Music（ストリーミング音楽サービス网易云音乐）、QQ Music（ストリーミング音楽サービスQQ音乐）、快手（システムユーティリティ系アプリ）、Alibaba（阿里巴巴）、滴滴出行（配車アプリ）、百度なども入っているのが問題視されています。
ZipperDown.org公式Q&A日本語訳はこちら
以下が、zipperdown.orgで公開されているQ&Aの日本語訳です。
1. ZipperDownセキュリティホールはどのくらいの数のアプリに影響しますか？
収集した168,951個のiOSアプリの中で、15,979のアプリが影響を受けることがわかりました。これは約10％にも迫る数です。アプリ名については、リストをご覧ください。
2. ZipperDownは新種のセキュリティホールですか？
いいえ、ZipperDownは非常に典型的なプログラミングエラーといえます。まさかこれほど多くのiOSアプリにこのエラーが存在するとは思ってもみませんでした。
3. 私はAndroidユーザですが、AndroidユーザもZipperDownの影響を受けますか？
Androidプラットフォームでも同様のセキュリティホールを発見し、既に大量に出回っているアプリの中でも確認しています。AndroidプラットフォームでのZipperDownの分析報告については今後公開しますのでお待ちください。
4. ZipperDownではどんな危害が考えられますか？
ZipperDownセキュリティホールによる危害は、影響を受けるアプリの昨日とその権限に関連します。いくつかのアプリの中では、攻撃者はZipperDownセキュリティホールを利用してアプリのデータを壊すこともできます。また一部のアプリ内では、攻撃者は任意のコードを実行する権限を得ることができます（下の動画の通りです）。
ただ、iOSシステムのSandboxが、ZipperDownセキュリティホールによる攻撃範囲を制限することができます。
5. どうやってZipperDownセキュリティホールを検出することができますか？
署名によって、影響を受けるアプリを特定することができますが、このセキュリティホールはよく形を変え、変種も多様なため、完全な署名認証方式はありません。やはり手動の分析でセキュリティホールの存在を確認するしかない状況です。
6. ZipperDownセキュリティホールはどんな環境下で発動しますか？
それはZipperDownセキュリティホールの影響を受けるアプリによります。最もよく考えられる状況は、通信のハイジャックと、スプーフィング（IP詐称、なりすまし）です。
7. Zipper Downセキュリティホールはどのように発見されたのですか？
Pangu Labが顧客に提供しているiOSアプリ安全査定の業務の中で、複数の顧客のiOSアプリの中に普遍的にZipperDownが存在することがわかりました。そしてJanusプラットフォームの力を借りて、このセキュリティホールがiOSとAndroid上で大量のアプリに影響していることがわかったのです。というわけで、我々はこのセキュリティホールを共通のセキュリティホールと認定し、外部に影響すると思われるアプリリストを公開したものです。
ともかくアプリかiOSの対応を待つか、公共や怪しいWi-Fiにはできるだけ接続を避けること！
日本のアプリも入っているのが気になりますが、まずはアプリ開発者の対応とアップデートを待ちたいところです。または、AppleがiOSレベルでその脆弱性を塞ぐ可能性もあります（iOSアップデートによる防衛システムSandboxのアップデート）。それまでは、怪しいWi-Fiはもちろんのこと、公共のWi-Fiに接続するのはできるだけ避けるに越したことはなさそうです。
記事は以上です。
（記事情報元：ZipperDown.org via MacX）