Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

スマホアプリ「+メッセージ」にURL偽装が可能となる脆弱性

携帯電話キャリア各社が提供するスマートフォン向けアプリ「+メッセージ」にフィッシング詐欺などへ悪用されるおそれがある脆弱性が判明した。

脆弱性情報のポータルサイトであるJVNによれば、NTTドコモ、KDDI、ソフトバンクより提供されている同アプリにおいて、Unicode制御文字の取り扱いに脆弱性「CVE-2022-43543」が明らかとなったもの。

同脆弱性を悪用すると、悪意あるURLを正規サイトのURLと誤認させるよう偽装することが可能で、フィッシング詐欺などに悪用されるおそれがある。

同脆弱性は、角田朱生氏が情報処理推進機構(IPA)へ報告したもので、JPCERTコーディネーションセンターが調整を行った。同センターでは、共通脆弱性評価システム「CVSSv3.1」においてベーススコアを「4.3」と評価している。

脆弱性の判明を受けて、各社はセキュリティアップデートを用意。細工されたURLをクリックした際にダイアログを表示し、警告する機能を追加した。

(Security NEXT - 2022/12/23 ) このエントリーをはてなブックマークに追加

PR

関連記事

「サイバーセキュリティ月間」がスタート - 日米豪印による連携も
「VMware vRealize Log Insight」の深刻な脆弱性、PoCが公開
脆弱性スキャナ「Nessus」にセキュリティアップデート
アプリの4.5%に「緊急」とされる脆弱性 - Synopsys調査
再委託先でメール誤送信、CCに無関係のメアド - 東京都
同意得てない個人情報を別団体へ誤提供 - 奈良県市町村職員共済組合
小学校で個人情報含む郵便物の不着騒ぎ、開封形跡なし - 新潟県
欧米当局、ランサム「Hive」を解体 - 捜査官が攻撃インフラに侵入
12月のDDoS攻撃件数は増加、最大規模も拡大 - IIJ調査
「JNSA賞」2名が受賞 - 3団体に特別賞