非公開投稿の閲覧含むLINEの深刻な脆弱性４つが発見・報告された件について

脆弱性（全４つ）の最初の指摘は、次のYouTube動画にあります（動画の投稿は2/23であり、2/25に脆弱性の対策は実施済みとのことです）。

とても丁寧で詳細な動画なのですが、16分と長めかつ、「LINE用語」が多く、LINEに詳しくないと、理解が難しかったりします。

そこで、このページでは、LINEの機能にそこまで詳しくない人向けに解説します。

2/25に既に対策済みで、追試ができない状態のようなのですが、LINE運営公式Twitterの「対策結果をメールで送りました」という返信、や、脆弱性の挙動が分かりやすいYoutTubeに投稿された動画、脆弱性発見者が公開した、LINEとのメールでのやりとりを見る限り、かなり信憑性は高いかな、と。

とりあえずこのページでは、その信憑性うんぬんというよりかは、そもそもの指摘されている内容の理解のお手伝いに重きを置きます。

１つ目は、ログアウト機能が不十分である、という脆弱性です。

LINEには、攻撃者の「不正ログイン」を、強制的に遠隔ログアウトできる機能があります。

ログイン中の端末一覧が表示できるので、そこから「ログアウト」を選択することで、追い出すことができます。

ログアウトが機能していない（認証トークンが失効しない）

今回指摘されているのは、この強制ログアウトを行ったとしても、通信で利用されていた、「認証トークン」が失効されないという脆弱性です。

つまり、表面上は強制ログアウトして、不正ログイン犯を追い出したように見えても実は、通信で利用されていた「認証トークン」が無効化されず、引き続き利用できるため、その後も、ログインしているのと同じように閲覧や投稿ができてしまいます。

２つ目に解説されているのが、非公開設定にしているはずの相手から、タイムライン*機能への投稿を閲覧されてしまう、という脆弱性です（*タイムラインとは、LINE内のTwitterのような機能）。

タイムラインのデータを取得する通信では、「攻撃者のID（mid）」「攻撃者の認証キー」「被害者（ターゲット）のID（mid）」を送信しています。

このとき、攻撃者に被害者のタイムラインの閲覧権限がないため、通常は閲覧することができません。

閲覧者が自己申告制なので別人のふりをすれば閲覧できてしまう（IDと認証キーのペアが検証されていない）

しかし、「攻撃者のID」の代わりに、LINE運営公式アカウントの「りんな」のID（知ることができる）を送信をしてみると、なぜか閲覧できてしまう、という脆弱性です。

つまり、「りんなが見に来たよ－」のように、閲覧者を自己申告できてしまい、その自己申告に基づいて、閲覧可能であるかが判定されるというわけです。

今回「公式アカウント」である「りんな」にはタイムラインの閲覧権限があるため、動画のような結果になってしまっています。

これはかなり脆弱性（２）に近い脆弱性で、公式アカウントに成りすまして、コメントできてしまう、というものです。

こちらも、認証キーとIDのペアが検証されていないことに起因する脆弱性です。

実際の書き込みの可否や、書き込み主の記録が、（自己申告の）IDに基づいて判定・実施されてしまっています。

こちらの脆弱性も、脆弱性（２）や（３）に類似していて、グループのメンバーにしか閲覧できないはずの「グループノート」を、「グループに参加していない攻撃者の認証キー」と、「グループに参加している誰かのID（←秘密でない）」を使えば閲覧できてしまう＆書き込み・編集もできてしまう、という脆弱性です。

認証キーが認証に使用されていない

そしてさらに動画終盤で「完璧にお笑い」と指摘されているとおり、認証キーに適当な文字列を指定したり、空白にしてしまっても、なりすまし書き込みができてしまうという脆弱性が指摘されています。

つまり、認証キーが利用されていない状態であることが指摘されています（「認証キーとは何だったのか」とも）。

４つの脆弱性はいずれも、「認証キー」の検証が不十分であることに起因する不具合のようです。

正しく失効されなかったり、IDとの組合せが検証されず、ばらばらの組合せで認証が通ってしまったり（なりすまし放題）。

さて、この動画を投稿した脆弱性発見者は、LINEとIPAに脆弱性を報告した、としつつ、動画を公開していました。

そして実際、LINE運営はその脆弱性発見者に対して、こんなツイートを送信しています。

@sirichan_line 本件、ご報告いただきありがとうございました。対策結果や脆弱性情報の取り扱いなどについて詳細をメールにてお送りしておりますので、ご確認くださいませ。

— LINE公式アカウント (@LINEjp_official) 2016年2月25日

（最近個別の問い合わせに返信してくれない）LINE公式Twitterアカウントが、返信でもないのに、個人宛にツイートを送信する、というとても珍しい光景です。そして、ツイートに「対策結果」の文字が含まれているのがポイントです。

そして、そのツイート中に書かれている、「詳細をメールにてお送りしております」のメールの内容が、「しりちゃん LINEボット - 【LINE脆弱性】LINE公式からの回答と不明点について。 - ブログ (Blog)」にて公開されています。

■脆弱性対応状況について
ご報告いただいた4つの脆弱性についての対応状況は以下のとおりです。

1.タイムラインの認証キーについて
2.非公開設定の人のタイムラインが閲覧できることについて
3.他人になりすましてタイムラインにコメントできることについて
4.グループノートが自由に閲覧できることについて

2〜4については、2016/02/25 深夜1時頃に対応を完了いたしました。
1については、仕様の悪用に起因する問題でもあることから、ユーザーの利便性を考慮しつつ、より安全にLINEをご利用いただける方法を検討中です。 （引用元）

というわけで、報告後、既に直近で必要な対策は実施済みとなっています。

実際、報告者の「しりちゃんLINEぼっと」さんも、

脆弱性につきましては以上の返答がまいりました。2.〜4.に関しましては、こちらで確認を行い、すでに修正されているのを確認いたしました。 （引用元）

としています。

脆弱性公開した理由について、報告者の「しりちゃんLINEぼっと」さんは、以下のように述べています。

なぜ今回このように公開させていただいたのかと言いますと、過去に脆弱性に関しまして指摘を無視したという事例や、以前LINEに脆弱性を報告いただいたユーザの方のお話から「もみ消されそうになりかけた」との声もあったためこのような方法をとらせていただきました。 （引用元）

先ほどのLINE運営からのメール本文に、

今回の脆弱性に関する弊社からの告知につきましては、現在準備を行っております。
準備が整い次第、以下ページにて告知致します。

▼セキュリティ＆プライバシー
http://linecorp.com/ja/security/ （引用元）

とあり、今後は、この告知がどんなものになるのか、が注目されます。

なおLINEが希望する脆弱性の報告方法は次の通りです。

なお、Bounty Programは終了いたしましたが、LINEに関する脆弱性は以下で常時受け付けています。
dl_bugreport@linecorp.com
（※スムーズな対応のため、可能な限り再現手順などの詳細を御記載いただけますようお願いいたします）
上記窓口では脆弱性に関する内容のみ受付させていただきます（報奨金の支払いはございません）。 （引用元）

このメールアドレスから、脆弱性の報告ができるようです。

以下が、この脆弱性報告に関連するページです。

• しりちゃん LINEボット - 【LINE脆弱性】タイムライン覗き見、なりすまし投稿の対処法 - ブログ (Blog)
• しりちゃん LINEボット - 【LINE脆弱性】LINE公式からの回答と不明点について。 - ブログ (Blog)
• 【LINE】LINEに4件の深刻な脆弱性が発見される(’16/02/22) – 新都心の自由帳♪

次のツイートにより直接報告があったのが、このページのきっかけです。

@did2line
もしよろしければこの件に関して記事を書いてください。https://t.co/5n6hM6mp7g

— れき.PBP (@reki_wf) 2016年2月23日

この脆弱性報告動画に対する反響が、少しずつ増えています。

【LINE脆弱性】非公開設定にされててもタイムラインを覗き見できる？！なりすまし投稿されちゃう？！？！ https://t.co/RoZdCMpwPd
一番やばそうなのが対策されたとはいえ元々この状態でリリースされてたって酷すぎるでしょ

— ぎーンティ@2/21みのりんFC昼 (@geenthy) 2016年2月27日

mid知られるとなりすまされてやりたい放題される脆弱性（と言うか脆弱性って言うのも烏滸がましいレベル）
高校生がLINEの脆弱性を発見！！運営は未だに未対応【悪用厳禁】 (16:12) https://t.co/YJlIfa8qaV #sm28294939

— かな (@kanaff11) 2016年2月27日

ついにLINEにやばい脆弱性が見るかるワロエナイｗｗｗｗｗ https://t.co/0j9Qzpq83F @news23vipさんから
なるほどわからん

— ハイパーUC (@HyperUnkoCannon) 2016年2月27日

今日は脆弱性を３つ紹介しますという軽快さが。//
VIPPERな俺 : ついにLINEにやばい脆弱性が見るかるワロエナイｗｗｗｗｗ https://t.co/6LoZvUs1he

— えふしん (@fshin2000) 2016年2月25日

LINEの脆弱性を詳しく説明してる動画見てるんだけど

公式アカウントの認証キーを使って他人のタイムラインに書き込むとか
非公開設定のタイムラインを覗き見できるとかワロエナイ pic.twitter.com/t0GXalt2l6

— どＭなキョン❄ (@dom_kyon) 2016年2月24日

@Hello_World_507 一応、Line関連で脆弱性見つけるの今回で3回目なんですよね。
ど素人の高校生が遊び半分で脆弱性が見つかるサービス、それがLINE

それなのにサービス続いててある意味すごいと思います

— れき.PBP (@reki_wf) 2016年2月23日

高校生がLINEの脆弱性を発見！！運営は未だに未対応【悪用厳禁】 (16:12) https://t.co/h8DY0Ud95d #sm28294939

結構深刻な脆弱性じゃねえか・・・ｗ

— ㍕㍒ (@Ledou_) 2016年2月27日