Android アプリ「パスワード管理 ロボフォーム」の intent 処理に検証不備の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は5月20日、Androidアプリ「パスワード管理 ロボフォーム」のintent処理における検証不備の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。Johan Francsics氏が報告を行っている。影響を受けるシステムは以下の通り。

Androidアプリ「パスワード管理 ロボフォーム」バージョン 9.8.6.3およびそれ以前
※iOSアプリは本脆弱性の影響を受けない

　Siber Systems, Inc.が提供するAndroidアプリ「パスワード管理 ロボフォーム」には、他のアプリからintent経由でログインページなどのURLを受け取り内蔵ブラウザでオープンする機能があるが、危険なURLかどうかの検証や当該URLからファイルをダウンロードする際のユーザへの確認といった機能が欠如しており、細工されたページへのURLを指すintentを受けとると、RoboFormはユーザインタフェース上はなんの表示もせずに当該ページからファイルをダウンロードする可能性がある。

　JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。