# 24/01/29～24/02/02配信分まとめ 皆さん、おはようございます。もしくは、こんにちは。または、こんばんは。 今日の10分シキュリティラジオ、土曜担当パーソナリティの山田です。 土曜日の配信は、今週の月曜日のネギュラー放送の内容を10分間にギューっと圧縮してお送りする、 シキュラジ切り抜きチャンネルとなっております。10分間最後までお付き合いください。 では早速ですが、月曜の配信から振り返ってみます。 タイトルは、AndroidアプリSpoonに連携外部サービスを使用される問題。アップデート指掛けです。 IPA及びJP3CCからAndroidアプリSpoonに、外部サービスのAPIキーがハードコードされている問題が存在すると、JVNで発表がありました。 対象となるシステムはAndroidSpoonアプリバージョン7.11.1から8.6.0までで、 この問題が受ける影響として、アプリ内のデータを解析された場合、外部サービスと連携するためのAPIキーが摂取される可能性があります。 なお、この脆弱性によって、製品の利用者が直接影響を受けることはないとしています。 さて、この外部サービスのAPIキーがハードコードされているという問題、実際どのような被害を受ける可能性があるのでしょうか。 APIキーをハードコードした場合、それが攻撃者の手に渡り、不正アクセスに悪用されるリスクが考えられます。 まず、APIとはアプリケーションプログラミングインターフェースの略で、プログラムがシステムの機能を共有・連携させるための仕組みです。 APIキーは、APIへのアクセスを認証するための文字列で、プログラムがAPIを利用するのに必要となります。 そして、ハードコードとは、ソースコードに値を直接記述することです。 ハードコードされた値に機密情報が含まれる場合、プログラムなどから値が漏えいし、影響を受ける可能性があります。 APIキーは、外部サービスと通信するための認証情報です。 APIキーがハードコードされている場合、プログラムを開設することで、攻撃者がAPIキーを入手することが考えられ、 入手したAPIキーで、外部サービスへの不正アクセスを行うことができるため、APIキーはハードコードすべきではないと言われています。 このような脆弱性がお使いのシステムやアプリから報告された際は、速やかにアップデートをご検討ください。 では続きまして、通用の配信を振り返ってみます。 タイトルは、LINEヤフーの役職員情報が特定の操作で外部からデータ抽出が可能に、バグバウンティープログラムで判明です。 LINEヤフー株式会社から、同社が利用する外部サービスの設定不備について発表がありました。 今回のインシデントは、社内資産管理、社内問い合わせ管理を目的として利用している外部サービスにて、 同社によるAPIの設定不備で、登録している役職員情報が特定の操作で外部からデータ抽出が可能となっていたというもので、 LINEセキュリティバグバウンティープログラムを通じた報告で判明しました。 対策として、外部からアクセス可能な状態となっていた機能を、外部からアクセスできないよう設定変更をしています。 さて、今回、脆弱性発見のきっかけとなったバグバウンティー。 皆さん、どのようなものかご存知でしょうか。 バグバウンティーとは、組織や企業が提供するシステムやソフトウェアの脆弱性を発見し、 その情報を報告してもらうことに対し、報奨金を支払う仕組みです。 簡単に言うと、脆弱性を見つけて報告してくれたらお金をあげるよという感じですね。 企業や組織側のメリットとして、自社のシステムやソフトウェアの脆弱性の早期発見が考えられます。 脆弱性を発見する方法としては、脆弱性診断という手段もありますが、更新頻度の高いシステムが対象の場合、更新の都度診断の依頼をする必要があります。 対してバグバンキーは、プログラムを公開している限り、脆弱性を探し続けられることになります。 また、常に第三者にチェックされていることで、開発者のセキュリティに対する意識を高めることも期待できます。 デメリットとしては、プログラムの運営や報告された脆弱性の対応に人手と時間がかかる場合があります。 例えば、報告された脆弱性を精査した結果、誤った脆弱性報告であったと、都道に終わることもあるかもしれません。 また、脆弱性が発見されるかは、報告者のスキルに依存しており、網羅性が担保されるものではありません。 ということで、バグバンキーについてお届けしました。 結構大手企業が導入していたりするので、興味のある方は検索してみてください。 では最後、金曜の配信を振り返ります。 タイトルは、Androidアプリ、メルカリにアクセス制限不備の脆弱性です。 IPA及びJP3CCから、Androidアプリ、メルカリにおけるアクセス制限不備の脆弱性についてJVNで発表がありました。 対象となるシステムは、Androidアプリ、メルカリのVer.5.78.0より前のVer.で、 この問題が起きる影響として、遠隔の第三者により当該製品を経由し任意のウェブサイトにアクセスさせられ、フィッシング等の被害に遭う可能性があるということです。 では、本脆弱性について詳細を解説いたします。 Androidアプリにおけるアクセス制限不備の脆弱性は、アプリが意図せず、外部からのアクセスを許可してしまう脆弱性です。 この脆弱性を悪用すると、アプリの不正な操作などが可能になり、利用者の個人情報や機密情報へのアクセスなど、深刻な被害につながる可能性があります。 まず、攻撃者は、SNSなどに貼ったリンクなどを経由して、脆弱性のあるAndroidアプリを立ち上げようとします。 本来は、アプリで表示されるウェブサイトは制限される必要がありますが、アクセス制限不備の脆弱性があると、その制限がつきません。 そして、任意のウェブサイトを表示させることができるため、アプリのログイン画面を模倣したフィッシングサイトにも誘導できることになります。 利用者がアプリ内で開いたウェブサイトを公式なものと誤認してしまった場合、ID・パスワードやクレジットカード情報など、個人情報や機密情報をアプリ内で表示されたフィッシングサイトへ入力してしまうことが考えられます。 入力した情報は攻撃者の手に渡り、悪用されてしまう可能性があるわけです。 このような問題があるため、該当のアプリをお使いの方は、最新版へのアップデートの検討をお願いいたします。 # エンディングと今日の一言 ということで、しきだじ1週間を振り返ってみました。 ながらで聞けてためになる。 今日の10分しきりきりラジオは、毎週月曜水曜金曜の朝7時15分より最新回を配信しております。 また、月水の夜の8時から、録音では聞けないしきだじ制作過程の裏側を、Voicyライブアワーから生放送でお届けしています。 そして、土曜日は月赤の内容をダイジェストでお送りするしきだじ切り抜きチャンネルを放送しております。 月曜から土曜までの各せきだじ、ぜひお聞きください。 ということで、今週も1週間お疲れ様でした。 今週のせきだじは、アンドロイドアプリの記事が2本ありましたね。 私も携帯はアンドロイドユーザーなんですが、なるべくこまめに各アプリ、アップデートがないかチェックするようにはしています。 皆さんもアップデートを数ステップの簡単な作業なので、定期的にチェックするようにしてください。 それでは今回はこの辺で失礼いたします。来週も聞いていただけましたら嬉しいです。ではまたね。