Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

LINEで意図に反する大量の「グループ招待」「友だち追加」 - バグ検証から拡大か

同社によると、今回悪用された脆弱性は「CLOVA Assistant」における一部APIの不具合に存在した。迷惑行為者があらかじめ収集していたLINEの内部識別子を使用し、「友だち」への登録や、「グループ」への招待などを行った可能性が高い。

今回利用された脆弱性は、10月15日に同社報奨金プログラムに対して報告が寄せられていたという。

同脆弱性の報告にあたっては、報告者が管理しないアカウントに対しても複数回の検証行為が行われていた。

同報告者が、第三者へ直接実証コードを共有したり、教唆などは行っていないが、検証の過程で再現方法を第三者が発見し、その後11月2日に発生した大規模な悪用につながった可能性があると同社では見ている。

同社は、原因となったAPIの脆弱性を修正し、自動登録を行っていたボットを削除した。大量のグループ招待を受けた利用者については、グループ招待のキャンセル処理を実施。ただし、グループへ参加済みの場合は利用者が退会処理を行う必要がある。

(Security NEXT - 2020/11/25 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

「WordPress 5.7.2」が公開 - 1件のセキュリティ修正
「PHPMailer」に深刻な脆弱性 - 過去修正済みの脆弱性が再発
MS、5月の月例パッチで脆弱性55件を修正 - 3件が公開済み
「EC-CUBE」の無償診断サービスが緊急脆弱性に対応 - 痕跡調査も
「Citrix Workspace App」に権限昇格の脆弱性 - アップデートを公開
Adobe、13製品向けにセキュリティアップデートを公開
「Adobe Experience Manager」に深刻な脆弱性
「Adobe Experience Manager」に6件の脆弱性 - 修正版が公開
eコマースプラットフォーム「Magento」にセキュリティアップデート
「Adobe Acrobat/Reader」に14件の脆弱性、アップデートが公開 - すでにゼロデイ攻撃も