JVN#53292492: Ticket Ryutsu Center Hardcoded Credentials and Improper URL Scheme Authorization (CVE-2026-92861, CVE-2026-92862)

脆弱性情報の概要 脆弱性番号: JVN#53292492 脆弱性名称: Androidアプリ「Ticket Ryutsu Center」における複数の脆弱性 脆弱性情報: - ハードコードされた認証情報 (CVE-798): - CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:R/VC:N/VI:N/VA:N/SC:N/S:N/SA:N ベーススコア 5.1 - CVSS:3.0/AV:L/AC:L/PR:N/UI:R/VC:L/IA:N/AV:N ベーススコア 4.0 - CVE-2026-92861 - カスタムURLスキーム処理における認可の不具合 (CVE-939): - CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/S:N/SA:N ベーススコア 4.6 - CVSS:3.0/AV:L/AC:L/PR:N/UI:R/VC:L/IA:N/AV:N ベーススコア 3.3 - CVE-2026-92862 - CVSS評価においては、被害者が悪意のあるアプリケーションのインストールを誘導され、当該悪意のあるアプリケーションがAndroidアプリ「Ticket Ryutsu Center」へ意図を送信することで、攻撃者がアプリ内で悪意のあるウェブサイトを表示させるというシナリオを想定しています。 影響範囲 影響を受ける製品: Androidアプリ「Ticket Ryutsu Center」のバージョン4.1.9およびそれ以前 影響: - ハードコードされたAPIキーが取得される可能性があります (CVE-2026-92861)。 - 悪意のあるアプリケーションから意図を受信した場合、攻撃者は脆弱なアプリケーションを介してユーザーを任意のウェブサイトへリダイレクトさせることが可能です。その結果、ユーザーはフィッシング攻撃の被害者になる可能性があります (CVE-2026-92862)。 対応策 解決策: アプリケーションを更新する - 開発者が提供した情報に基づき、アプリケーションを最新バージョンへ更新してください。 - 開発者は2025年10月、本脆弱性を修正した以下のバージョンをリリースしました： - Androidアプリ「Ticket Ryutsu Center」バージョン4.2.0 - 開発者によると、影響を受けるバージョンでは、呼び出し時に直ちにアプリケーションを更新することが求められます。 - CVE-2026-92861 については、最新バージョンからハードコードされたAPIキーが削除されています。 - 脆弱性のあったAPIキーは無効化されているため、脆弱なアプリケーション内の情報が悪用されることはありません。 その他の情報 ベンダーの状況: - ベンダー: 株式会社Wavedash - リンク: Ticket Ryutsu Center Android application (Text in Japanese) 参考資料: - JPCERT/CC アレンジメント - 脆弱性分析は JPCERT/CC によって提供 クレジット: - 本脆弱性は、BroadBand Security, Inc. の佐藤幸樹氏から JPA へ報告されました。 - JPCERT/CC は、情報セキュリティ早期警報パートナーシップの下、開発者と調整を行いました。 その他の情報: - JPCERTアラート - JPCERTレポート - CERTアドバイザリ - CFNIアドバイザリ - TRoutes - CVE: CVE-2026-92861, CVE-2026-92862 - JVN iPedia: JVNBDB-2026-000145 --- 注意: 本ページにはPOCコードまたはエクスプロイトコードは含まれていません。

目標達成すべての支援者に感謝 — 100%達成しました！

JVN#53292492: Ticket Ryutsu Center Hardcoded Credentials and Improper URL Scheme Authorization (CVE-2026-92861, CVE-2026-92862)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

JVN#53292492: Ticket Ryutsu Center Hardcoded Credentials and Improper URL Scheme Authorization (CVE-2026-92861, CVE-2026-92862)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！