公式アプリに、ハードコードされた暗号鍵の使用の脆弱性が存在

JVN(Japan Vulnerability Notes)は11/20に、株式会社EPARKが提供するAndroidアプリ「くら寿司 公式アプリ Produced by EPARK」には、ハードコードされた暗号鍵の使用の脆弱性が存在します。と公表した。

株式会社EPARKが提供するAndroidアプリ「くら寿司 公式アプリ Produced by EPARK」には、ハードコードされた暗号鍵の使用（CWE-321）の脆弱性が存在し、当該製品のログイン用IDとパスワードを取得される可能性があるため、Androidアプリ「くら寿司 公式アプリ Produced by EPARK」バージョン 3.8.5へのアップデートをする必要があります。

これは企業のセキュリティ担当のうち、開発プロダクトのセキュリティインシデントとなります。通常はプログラムに可読性のある状態でサービスの鍵を入れる事はないのですが、暗号鍵が入ってしまったとのことです。開発上の手続きや手順及びそれらのレビューにミスがあったのだと思います。

https://jvn.jp/jp/JVN16114985/index.html

JVN#16114985