ヨドバシカメラのAndroidアプリに脆弱性 フィッシングサイトなど任意のURLへのアクセスに使われる恐れ

ヨドバシカメラのショッピングアプリ「ヨドバシ」のAndroid版に、攻撃者によって任意のURLへのアクセスに使われてしまう脆弱性があるとして、JPCERT/CC（JPCERTコーディネーションセンター）が9月7日、注意を呼び掛けた。対策として、最新版へアップデートするよう案内している。 ヨドバシのAndroid版アプリには、Androidの「Intent」という仕組みを利用して、他のアプリから送られてきたURLにアクセスする機能がある。しかし、同アプリにはリクエストの発行元を制限せず、任意のアプリからIntentを受け取って任意のURLへアクセスを行ってしまう、アクセス制限不備の脆弱性があるという。 第三者がスマートフォンに対し遠隔操作を行い、同アプリを経由することで任意のWebサイトにアクセスすることも可能なことから、JPCERT/CCはフィッシングなどの被害にあう可能性があるとしている

[sisya]

このアプリは商品カタログアプリの方なので、ヨドバシのポイントカードアプリには影響がない。ヨドバシのAndroidアプリは二種類あるので勘違い防止の注釈が欲しい。

[deep_one]

「同アプリにはリクエストの発行元を制限せず、任意のアプリからIntentを受け取って任意のURLへアクセスを行ってしまう」用途からして自サイトのURLに限定するのが当たり前だと思うが。

[ookitasaburou]

“ヨドバシのAndroid版アプリには、Androidの「Intent」という仕組みを利用して、他のアプリから送られてきたURLにアクセスする機能がある。しかし、同アプリにはリクエストの発行元を制限せず、任意のアプリからIntentを受け

[hylom]

オープンリダイレクトはシンプルだけど知識がないと気付けないし悪用されるケースを想像できない人もいるんだよな

[sakana315]

正直UIもいまいちだし、全面改修してはどうだろう

[gogatsu26]

“第三者がスマートフォンに対し遠隔操作を行い、同アプリを経由することで任意のWebサイトにアクセスすることも可能”

[Falky]

またオープンリダイレクトか