Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

LINEで意図に反する大量の「グループ招待」「友だち追加」 - バグ検証から拡大か

同社によると、今回悪用された脆弱性は「CLOVA Assistant」における一部APIの不具合に存在した。迷惑行為者があらかじめ収集していたLINEの内部識別子を使用し、「友だち」への登録や、「グループ」への招待などを行った可能性が高い。

今回利用された脆弱性は、10月15日に同社報奨金プログラムに対して報告が寄せられていたという。

同脆弱性の報告にあたっては、報告者が管理しないアカウントに対しても複数回の検証行為が行われていた。

同報告者が、第三者へ直接実証コードを共有したり、教唆などは行っていないが、検証の過程で再現方法を第三者が発見し、その後11月2日に発生した大規模な悪用につながった可能性があると同社では見ている。

同社は、原因となったAPIの脆弱性を修正し、自動登録を行っていたボットを削除した。大量のグループ招待を受けた利用者については、グループ招待のキャンセル処理を実施。ただし、グループへ参加済みの場合は利用者が退会処理を行う必要がある。

(Security NEXT - 2020/11/25 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

WP向けプラグイン「WP User Frontend」に深刻な脆弱性 - PoC公開済み
「Apache DolphinScheduler」にコードインジェクションの脆弱性
ゼロデイ脆弱性に対処した「Microsoft Edge」がリリース
Go向けSAMLライブラリに深刻な脆弱性 - アップデートが公開
「VMware Tools for Windows」に脆弱性 - 重要度は「低」
Google、ブラウザ最新版「Chrome 108」をリリース - 複数脆弱性を修正
「Chrome」にセキュリティアップデート - ゼロデイ脆弱性を修正
Zohoのアクセス関連製品に複数のSQLi脆弱性
ID管理製品「Atlassian Crowd」に深刻な脆弱性
オープンソースの検索エンジン「OpenSearch」に脆弱性