独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は5月10日、スマートフォンアプリ「OfferBox」における秘密鍵がハードコードされている問題について「Japan Vulnerability Notes（JVN）」で発表した。楽天グループ株式会社の山手雄太氏が報告を行っている。影響を受けるシステムは以下の通り。
Androidアプリ「OfferBox」2.0.0から2.3.17まで
iOSアプリ「OfferBox」2.1.7から2.6.14まで
株式会社i-plugが提供するスマートフォンアプリ「OfferBox」には、JWTの秘密鍵がハードコードされており、アプリ内のデータを解析された場合、JWTの秘密鍵が窃取される可能性がある。
なお、当該秘密鍵は2024年5月8日に開発者が無効化しており、対策前のバージョンでも本脆弱性の影響は受けず、ユーザは本脆弱性への自発的行動を取る必要はない。開発者は秘密鍵を内包しない下記のバージョンをリリースしている。
Androidアプリ「OfferBox」3.0.0
iOSアプリ「OfferBox」3.0.0
![脆弱性診断内製化を達成したら必要になるもの ～「診断マネジメント」エーアイセキュリティラボ [Interop Tokyo 2024 REPORT] 画像](/imgs/std_m/45285.jpg)
![応募〆切 来週 7月3日(水)｜東京都中小企業の CSIRT 構築と IT-BCP 策定[無料]支援事業 誌上説明会 画像](/imgs/std_m/45225.jpg)
![人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン 読者特典] 画像](/imgs/std_m/43329.jpg)
