JVN#31864411
Android アプリ「ユニクロアプリ」における複数のアクセス制限不備の脆弱性

Android アプリ「ユニクロアプリ」には、複数のアクセス制限不備の脆弱性が存在します。

• Android アプリ「ユニクロアプリ」バージョン 7.3.3 およびそれ以前

株式会社ユニクロが提供している Android アプリ「ユニクロアプリ」には以下の脆弱性があります。脆弱性を悪用されると、ユーザが任意の Web サイトにアクセスさせられる可能性があります。

• Custom URL Scheme により当該アプリが起動され、指定された任意の URL にアクセスさせられる (CWE-284) - CVE-2020-5628

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N	基本値: 4.3
  CVSS v2	AV:N/AC:M/Au:N/C:N/I:P/A:N	基本値: 4.3

• コンポーネントが任意のアプリから Intent を受け取り、Intent がリクエストする任意の URL にアクセスさせられる (CWE-284) - CVE-2020-5629

  CVSS v3	CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N	基本値: 3.3
  CVSS v2	AV:N/AC:M/Au:N/C:N/I:P/A:N	基本値: 4.3

遠隔の第三者によって、当該製品を経由して任意の Web サイトにアクセスさせられる可能性があります。アクセス先が悪意のある Web サイトであった場合、フィッシングなどの被害にあう可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
当該脆弱性は、バージョン 7.3.4 で修正されています。