JVN#32739265: スマートフォンアプリ「ニューズピックス」に外部サービスの API キーがハードコードされている問題

スマートフォンアプリ「ニューズピックス」には、外部サービスの API キーがハードコードされている問題が存在します。

株式会社ニューズピックスが提供する Android アプリ「NewsPicks（ニューズピックス）/経済ニュースアプリ」および iOS アプリ「ニューズピックス -ビジネスに役立つ経済ニュースアプリ」には、外部サービスの API キーがハードコードされている問題 (CWE-798) が存在します。

アプリ内のデータを解析され、外部サービスと連携するための API キーが不正に窃取される可能性があります。
なお、この脆弱性によって、製品利用者が直接影響を受けることはありません。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。

なお、修正版では API キーがアプリ内から削除されています。また既存の API キーはすでに無効化されているため、本脆弱性の影響を受けるバージョンのアプリに含まれる情報を悪用することはできません。

ベンダ	リンク
株式会社ニューズピックス	NewsPicks（ニューズピックス）/経済ニュースアプリ
	ニューズピックス -ビジネスに役立つ経済ニュースアプリ

CVSS v3 CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

基本値: 4.0

CVSS v2 AV:L/AC:L/Au:N/C:P/I:N/A:N

基本値: 2.1

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 株式会社ブロードバンドセキュリティ砂川　真範氏

JVN#32739265 スマートフォンアプリ「ニューズピックス」に外部サービスの API キーがハードコードされている問題