独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は12月21日、スマートフォンアプリ「＋メッセージ」における Unicode 制御文字の扱いに関する脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。角田朱生氏が報告を行っている。
影響を受けるシステムは以下の通り。

・ソフトバンク株式会社
Android アプリ「＋メッセージ（プラスメッセージ）」12.9.5 より前のバージョン
iOS アプリ「＋メッセージ（プラスメッセージ）」3.9.4 より前のバージョン

・株式会社NTTドコモ
Android アプリ「＋メッセージ（プラスメッセージ）」54.49.0500 より前のバージョン
iOS アプリ「＋メッセージ（プラスメッセージ）」3.9.4 より前のバージョン

・ＫＤＤＩ株式会社
Android アプリ「＋メッセージ（プラスメッセージ）」3.9.2 より前のバージョン
iOS アプリ「＋メッセージ（プラスメッセージ）」3.9.4 より前のバージョン

　スマートフォンアプリ「＋メッセージ（プラスメッセージ）」は Unicode 制御⽂字の仕様に基づき無加工で表示しているため、意図的に URL を含むテキスト情報に細⼯することで、実際のリンク先を誤解させるようにすることが可能で、細⼯されたテキスト情報の表⽰において URL が偽装され、フィッシング詐欺などに使⽤される可能性がある。

　JVNでは、開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。

元の記事を読む

編集部おすすめ