スマートフォンアプリ「Retty」に複数の脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は7月13日、スマートフォンアプリ「Retty」における複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

脆弱性と脅威セキュリティホール・脆弱性

2021年7月15日（木） 08時05分

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は7月13日、スマートフォンアプリ「Retty」における複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。佐藤竜氏が報告を行っている。影響を受けるシステムは以下の通り。

Android アプリ「Retty」バージョン 4.8.13 より前のバージョン
iOS アプリ「Retty」バージョン 4.11.14 より前のバージョン

　Retty株式会社が提供するスマートフォンアプリ「Retty」には、Custom URL Scheme により当該アプリが起動され指定された任意の URL にアクセスさせられる問題（CVE-2021-20747）と外部サービスの API キーがハードコードされている問題（CVE-2021-20748）が存在する。

　想定される影響は各脆弱性により異なるが、遠隔の第三者によって当該製品を経由し任意のWebサイトにアクセスさせられフィッシング等の被害にあう（CVE-2021-20747）、アプリ内のデータを解析され外部サービスと連携するための API キーが不正に窃取される（CVE-2021-20748）などの影響を受ける可能性がある。なお「CVE-2021-20748」は、製品利用者が直接影響を受けることはない。

　JVNでは、開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。