セキュリティ

SECURITY

公開：2024-08-22

楽天市場アプリのAndroid・iOS版にアクセス制限不備の脆弱性、フィッシング被害のリスクあり

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• 楽天市場アプリにアクセス制限不備の脆弱性
• Custom URL Schemeを使用した機能に問題
• フィッシング被害のリスクが存在

楽天市場アプリのAndroid・iOS版にアクセス制限不備の脆弱性が発見

楽天グループ株式会社は、スマートフォンアプリ「楽天市場アプリ」のAndroid版とiOS版にアクセス制限不備の脆弱性が存在することを2024年8月20日に公開した。この脆弱性は、Custom URL Schemeを使用してリクエストされたURLにアクセスする機能に関連しており、任意のアプリからリクエストを受け取り指定されたURLへアクセスを実行してしまう問題がある。^[1]

影響を受けるバージョンは、Android版が12.4.0以前、iOS版が11.7.0以前となっている。この脆弱性により、遠隔の第三者によって当該製品を経由し任意のウェブサイトにアクセスさせられる可能性があり、結果としてフィッシング等の被害にあう危険性が指摘されている。脆弱性の種類はCWE-939に分類され、アクセス制限不備として認識されている。

対策として、楽天グループ株式会社は最新版へのアップデートを推奨している。この脆弱性情報は情報セキュリティ早期警戒パートナーシップに基づき、株式会社ブロードバンドセキュリティの志賀拓馬氏によってIPAに報告され、JPCERT/CCが開発者との調整を行った。CVSSv3による基本値は3.1と評価されており、比較的軽度な脆弱性として分類されている。

楽天市場アプリの脆弱性情報まとめ

Custom URL Schemeについて

Custom URL Schemeとは、アプリケーション独自のURLスキームを定義し、そのURLを使用してアプリを起動したり特定の機能を呼び出したりする仕組みのことを指しており、主な特徴として以下のような点が挙げられる。

• アプリ固有のプロトコルを定義可能
• ウェブページやメールからアプリを直接起動できる
• アプリ間での連携や情報共有を容易にする

楽天市場アプリの場合、Custom URL Schemeを使用してリクエストされたURLにアクセスする機能が実装されていたが、適切なアクセス制限が行われていなかった。このため、任意のアプリからリクエストを受け取り指定されたURLへアクセスを実行してしまう脆弱性が存在し、フィッシング等のセキュリティリスクにつながる可能性があった。

楽天市場アプリの脆弱性に関する考察

楽天市場アプリの脆弱性は、Custom URL Schemeの実装における適切なアクセス制御の重要性を浮き彫りにした。この問題は、利便性と安全性のバランスを取ることの難しさを示しており、アプリ開発者にとって重要な教訓となるだろう。今後は、Custom URL Schemeを使用する際のセキュリティガイドラインの策定や、より厳格な実装チェックが必要になると考えられる。

一方で、この脆弱性のCVSS v3基本値が3.1と比較的低いことは注目に値する。これは、攻撃の実行に複雑な条件が必要であることや、直接的な情報漏洩につながるわけではないことを示している。しかし、フィッシング攻撃の足がかりとなる可能性があるため、ユーザーの警戒は依然として必要だ。アプリ開発者は、似たような脆弱性を防ぐため、外部からのリクエスト処理に関するセキュリティレビューを強化する必要があるだろう。

今後の対策として、アプリ開発者はCustom URL Schemeの使用を最小限に抑え、代替手段としてApp LinksやUniversal Linksなどの安全性の高い技術の採用を検討すべきだ。また、ユーザー側も定期的なアプリのアップデートや、不審なリンクの開封に注意するなど、セキュリティ意識を高めることが重要になる。この事例を教訓に、アプリのセキュリティ設計全体を見直す良い機会となるだろう。

参考サイト

1. ^ JVN. 「JVN#56648919: スマートフォンアプリ「楽天市場アプリ」におけるアクセス制限不備の脆弱性」. https://jvn.jp/jp/JVN56648919/, (参照 24-08-22).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧