e-Gov電子申請アプリケーションで Custom URL Scheme の処理にアクセス制限不備の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は10月6日、e-Gov電子申請アプリケーションにおける Custom URL Scheme の処理にアクセス制限不備の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。日本電気株式会社の外山拓氏が報告を行っている。影響を受けるシステムは以下の通り。

e-Gov電子申請アプリケーション (Windows版) 2.1.1.0 より前のバージョン
e-Gov電子申請アプリケーション (macOS版) 1.1.1.0 より前のバージョン

　デジタル庁が提供する e-Gov電子申請アプリケーションをインストールすると、システムに Custom URL Scheme が登録され、Web ブラウザなどから特定の URL にアクセスすることで当該アプリケーションが起動されるようになるが、このとき使用される URL には当該アプリケーションがアクセスする Web サイトの情報が含まれ、細工されたURLから当該アプリケーションを起動することで、想定されていない Web サイトにアクセスさせられる可能性がある。

　想定される影響としては、Web ブラウザなどから細工された URL にアクセスすることで、当該製品を経由して任意のウェブサイトにアクセスさせられ、フィッシング等の被害にあう可能性がある。

　JVNでは、開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。なおデジタル庁では、本脆弱性を修正した下記のバージョンをリリースしている。

e-Gov電子申請アプリケーション (Windows版) 2.1.1.0
e-Gov電子申請アプリケーション (macOS版) 1.1.1.0