Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

LINEに非公開TLの漏洩など4件の脆弱性 - YouTubeへのデモ動画投稿で明らかに

SNSサービスの「LINE」において、非公開設定のタイムラインやグループノートが閲覧できる脆弱性のほか、なりすましによる投稿が可能となるなど、複数の脆弱性が含まれていたことがわかった。1件を除いて2月23日に修正を終えており、のこる脆弱性についても対応を進めているという。

20160302_li_001.jpg
公開された脆弱性のデモ動画(YouTube)

今回あきらかとなった脆弱性は4件。他端末からのログインを許可したあとに、ログアウトしても認証キーが削除されない問題が存在。また、友だち登録しているユーザーの認証キーと「りんな」など公式アカウントのIDを用いることで、非公開設定のタイムラインを閲覧することが可能だった。

さらに他人になりすましてタイムラインにコメントできる、メンバーになりすましてグループノートが自由に閲覧できるなど、認証不備の脆弱性が含まれていたという。

これら脆弱性を実際にデモンストレーションする動画が、2月22日にYouTubeで公開されたことから問題が発覚。発見者は、脆弱性情報をYouTubeで公開した理由についてWikipediaを引用し、過去にLINEにおいて脆弱性の指摘が正しく処理されなかったとの情報があり、総合的に判断したなどと述べている。

公開後に情報処理推進機構(IPA)へ報告を行ったことや、LINEからの返信メールのほか、脆弱性の修正、さらなる情報開示などを求める内容を自身のブログに投稿していた。

(Security NEXT - 2016/03/02 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Visual Studio Code」に権限昇格の脆弱性 - 修正を実施
「BIND 9.14」にサービス拒否など複数脆弱性
「Adobe Acrobat/Reader」にアップデート - 脆弱性68件を修正
「Java SE」の最新版がリリース - 脆弱性20件に対処
Oracle、定例アップデートで219件の脆弱性を修正
「Cisco Aironet」シリーズに複数の脆弱性 - 設定変更やDoSのおそれ
VMwareの「Harbor Container Registry for PCF」に深刻な脆弱性
WP向けグラフ作成プラグインにSQLiなど複数脆弱性
「sudo」に権限設定バイパスのおそれ - rootでコマンド実行可能に
Adobe、「AEM」「Download Manager」に脆弱性 - 定例外パッチ公開