RSA Conferenceの公式モバイルアプリに脆弱性見つかる

2018年4月25日 10:55

headless曰く、　20日まで米国・サンフランシスコで開催されたRSA Conference USA 2018の公式モバイルアプリで、登録ユーザーの姓名を含むリストにアクセス可能な脆弱性が見つかったそうだ（発見者のツイート、Ars Technica、Register）。

　このアプリはイベント用アプリを専門にするEventbase Technologyが開発したもの。一部の機能でログインが必要となっており、RSA Conferenceの公式サイトで作成したアカウントでログインするとトークンを含むXMLファイルが生成される。このトークンを指定してEventbase TechnologyのWeb APIにアクセスするとSQLiteデータベースファイルのURLを含むJSONレスポンスが返される。データベースファイルは暗号化されているが、レスポンスヘッダーにデータベースハッシュが含まれており、復号に必要な情報がすべて取得可能な状態だったという。

　発見者は100件以上の姓名を確認したところで調査を打ち切り、報告を受けたRSA ConferenceとEventbase Technologyは問題を数時間で修正したとのこと。RSA Conferenceの公式Twitterアカウントは、アクセスされた姓名が114件だったと報告している。RSA Conferenceの公式モバイルアプリでは別の開発元による2014年版でも、アプリがダウンロードするイベントデータのデータベースファイルに登録ユーザーの個人情報が含まれるという問題が発覚している。

最新記事

• NVIDIAら、実機ロボットの研究開発を完全自動化するフレームワーク「ENPIRE」発表―AIが検証からコード修正まで実行
• Z.aiが「GLM-5.2」のオープンウェイトを公開、性能はClaude Opusに迫るもAPI経由のデータ送信に中国法上のリスク指摘
• 【内部リーク】Metaが数千人の技術者をAI訓練用のデータ作成に投入、社内からは「強制収容所」と自虐する不満が噴出
• 『R-Type Tactics I・II Cosmos』が6プラットフォームで海外発売へ―幻のPSP続編が16年越しに初の英語化
• ChatGPTのシェアが初の50%割れ、GeminiとClaudeが猛追――Sensor Tower調査