スマートフォンアプリ「OfferBox」に秘密鍵がハードコードされている問題

独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は5月10日、スマートフォンアプリ「OfferBox」における秘密鍵がハードコードされている問題について「Japan Vulnerability Notes(JVN)」で発表した。楽天グループ株式会社の山手雄太氏が報告を行っている。影響を受けるシステムは以下の通り。

Phormer における XSS の脆弱性 ~ 2007年届出 2024年公表

Androidアプリ「OfferBox」2.0.0から2.3.17まで
iOSアプリ「OfferBox」2.1.7から2.6.14まで

株式会社i-plugが提供するスマートフォンアプリ「OfferBox」には、JWTの秘密鍵がハードコードされており、アプリ内のデータを解析された場合、JWTの秘密鍵が窃取される可能性がある。

なお、当該秘密鍵は2024年5月8日に開発者が無効化しており、対策前のバージョンでも本脆弱性の影響は受けず、ユーザは本脆弱性への自発的行動を取る必要はない。開発者は秘密鍵を内包しない下記のバージョンをリリースしている。

Androidアプリ「OfferBox」3.0.0
iOSアプリ「OfferBox」3.0.0

© 株式会社イード