報告: デスクトップアプリの画面遷移の脆弱性

#概要

デスクトップアプリに表示されるアプリ内通知の一部で、利用者が入力した文字列がそのまま描画される箇所がありました。この箇所に細工した文字列を含めることで、通知をクリックした利用者のアプリが、想定していない外部のページへ遷移させられる可能性がありました。当時のアプリの画面遷移の扱いでは、遷移先のページからログイン中のセッション情報や端末上のデータに到達できる余地がありました。

報告を受けた当日に調査を開始し、翌日にサーバー側の修正を全利用者に適用しました。あわせて、デスクトップアプリ側にも画面遷移の制限を追加しています。

#発生原因

本事象は、通知に含まれる利用者入力の描画方法と、デスクトップアプリの画面遷移の扱いという2つの実装が重なって生じました。

#経緯

Pulseのアプリ内通知は、共有されたノートなど、関連する画面へ直接移動できるようになっています。この通知のうち、他の利用者が設定した表示名を含むものがあり、表示名は利用者自身が任意の文字列を設定できる項目でした。

悪用するには、対象の利用者に通知を発生させる操作（例えば、非公開のノートへのアクセス要求）を行ったうえで、その利用者に通知内のリンクをクリックさせる必要がありました。特定の相手を狙う必要があるため、広範囲に対して実行することは容易ではない構造でした。

#直接の原因

1. 入力値の扱い — 利用者が設定できる表示名が、通知の中でクリック可能な要素として解釈されうる形で描画されていました。
2. 画面遷移の扱い — デスクトップアプリが、信頼できる遷移先かどうかを確認せずに画面遷移を行っていました。遷移先のページは、ログイン中のセッションおよび端末上で参照できるデータに到達しうる状態でした。

#対応

サーバー側の修正を先に適用したのは、利用者にアプリの更新を求めることなく、全員を保護するためです。そのうえで、個別の手法ではなく画面遷移の扱いそのものを見直す修正をアプリ側に加えました。

#影響範囲

• アクセスログおよびアプリの動作記録を確認した範囲では、報告者による概念実証を除き、本事象が悪用された形跡は確認されていません。
• 悪用には特定の利用者を狙った準備が必要であり、不特定多数に対して同時に実行できる構造ではありませんでした。
• 利用者による対応は必要なく、パスワードの変更や再ログインをお願いするものでもありません。

#再発防止策

1. 入力値の扱いの統一 — 利用者が入力できる文字列を通知やノートの一覧に表示する箇所について、描画方法を横断的に確認し、平文として扱う実装に統一しました。
2. 画面遷移の制御 — デスクトップアプリからの画面遷移について、許可リスト方式の確認を追加しました。許可されていない遷移先は、アプリ内ではなく外部のブラウザで開きます。
3. 同種の箇所の点検 — 通知以外に利用者入力を表示している画面を洗い出し、同じ問題が残っていないかを点検しました。
4. 回帰テストの追加 — 入力値の描画方法と画面遷移の制御が将来の変更で失われないよう、自動テストを追加しました。

#謝辞

〔報告者名〕（〔報告者の所属組織名〕）に感謝します。明確な概念実証を添えて報告いただき、修正の回避手法についても続けて指摘いただいたうえ、修正後の確認にもご協力いただきました。

#参考情報

• 脆弱性開示ポリシー — 調査を許可する範囲、報告の方法、報告者への対応
• アプリケーション利用規約 — デスクトップアプリの更新と動作環境
• セキュリティ体制 — 平時の技術的・組織的な安全管理措置
• 本件に関するお問い合わせ: tharada@the-unchain.com／脆弱性のご報告: tharada@the-unchain.com