この「ES File Explorer」はその名の通り、Andoroid版のファイルエクスプローラーで操作性など充実していることから全世界で使われており、もちろん日本でも公開されています。

　今回、この欠陥を発見したのはセキュリティの研究者であるRobert Baptiste氏で、このアプリを使用すると隠れたWebサーバーが見つかったということです。

　ユーザーがこの「ES File Explorer」をバックグラウンドで開いている状態だと、同じネットワーク上にいる攻撃者が相手のスマホに入っている情報（デバイス情報、インストール済みのアプリケーションなど）を入手でき、リモートから被害者の電話でアプリを起動させることができます。
　しかも、このリモートコントロールは脆弱性CVE-2019-6447を悪用し、アプリにアクセス許可を付与しない場合でも、行うことができるということです。

　これにより、攻撃者がスクリプトを使用し、相手側のスマホ内部のデータ一覧やSDカードのファイルの内容を表示およびダウンロードすることができ、また別のアプリを起動したり、デバイス情報を表示させることができます。
 
　さらに、攻撃者は、中間者攻撃（MitM）を利用して、アプリのHTTPネットワークトラフィックを傍受し、自分のHTTPトラフィックに切り替えることができます。



　この脆弱性はES File Explorer開発チームは調査結果を共有しており、修正を行っています。ただし、この問題はあくまでも「httpの脆弱性の問題」についてであり、ほかの複数の問題については修正されているか現在わかりません。

　ユーザーは次のアップデートで修正される問題を確認する必要があります。この脆弱性がきちんと修正されているかどうかは情報がでてくると思いますので、それまでの間はこの「ES File Explorer」を使用しない方がよいかもしれません。また、修正を適用するためにも必ず最新バージョンへのアップデートを行ってください。