Androidアプリ「Spoon」に連携外部サービスを使用される問題、アップデート呼びかけ

　IPAおよびJPCERT/CCは1月23日、Androidアプリ「Spoon（スプーン）」に、外部サービスのAPIキーがハードコードされている問題が存在すると「Japan Vulnerability Notes（JVN）」で発表した。株式会社ブロードバンドセキュリティの坂井祥仁氏によりJPCERT/CCに報告された。

　株式会社Spoon Radio Japanが提供するAndroidアプリ「Spoon」には、外部サービスのAPIキーがハードコードされている問題（CVE-2024-23453）が存在する。CVSS v3による基本値は4.0。影響を受けるシステムは次の通り。

・Android Spoon アプリバージョン 7.11.1 から 8.6.0 まで

　アプリ内のデータを解析された場合、外部サービスと連携するためのAPIキーが窃取される可能性があり、結果として当該アプリが連携している外部サービスが、開発者が想定していない形で使用される可能性がある。なお、この脆弱性によって製品の利用者が直接影響を受けることはないとしている。

　JVNでは、開発者が提供する情報をもとに最新版にアップデートするよう呼びかけている。また本脆弱性は、Android Spoon アプリバージョン 8.6.1 以降で修正されている。