いつもLINE BLOGをご利用いただき誠にありがとうございます。
このたび、LINE BLOGにおいて、公開前の記事(下書きと予約投稿の記事)の画像および動画のURLが参照される可能性がある脆弱性(セキュリティ上の不具合)の報告を受け、修正を完了したことをお知らせします。
※ブログを特定しての画像および動画を取得することはできません。
対象となる記事:一般に公開されていない記事(画像および動画を含む下書きと予約投稿の記事)
※「LINE Security Bug Bounty Program」からの報告によるもの
ただしアクセスログからでは正規のリクエストと不正なリクエストの区別が困難であったため、悪用が行われていないかの断定は難しい状況です。今後新たな事実が判明した場合には速やかに お知らせいたします。
なお、下記のケースについては調査の対象外となります。
・ログを保有していない期間(2016年11月14日の脆弱性発生時から2021年2月2日)
ユーザー様にはご迷惑とご心配をおかけし申し訳ございません。
セキュリティ強化により再発防止を図り、公開前の情報の管理を改めて徹底すると共に信頼回復に努めてまいります。
今後ともLINE BLOGをよろしくお願いいたします。
https://bugbounty.linecorp.com/ja/
このたび、LINE BLOGにおいて、公開前の記事(下書きと予約投稿の記事)の画像および動画のURLが参照される可能性がある脆弱性(セキュリティ上の不具合)の報告を受け、修正を完了したことをお知らせします。
概要
LINE BLOGの公開前の記事(下書きと予約投稿の記事)において、不正な操作により公開前の画像および動画のURLが参照される可能があるセキュリティ上の不具合(以下、本脆弱性)が存在していたことが、社外のセキュリティ研究者の方からバグ報告を受け付ける「LINE Security Bug Bounty Program」(*1) からの報告により判明いたしました。なお、本脆弱性は2021年8月6日の修正により、現在は解消しています。本脆弱性の詳細について
LINE BLOGのアプリで画像や動画が添付された記事を投稿(プレビューおよび編集を含む)する際、APIリクエストに含まれる画像IDの値を編集することで自身がアップロードしていない画像や動画に対してアクセスが可能なURLが発行され、結果としてそれらの画像や動画にアクセスできる状態でした。■ 想定される被害
公開前の記事(下書きと予約投稿の記事)でも画像や動画が参照される可能性がありました。※ブログを特定しての画像および動画を取得することはできません。
■ 対象となるブログおよび記事の条件
対象となるブログ:すべてのブログ対象となる記事:一般に公開されていない記事(画像および動画を含む下書きと予約投稿の記事)
■ 本脆弱性の発生日
2016年11月14日■ 本脆弱性の判明日
2021年8月4日 23:54※「LINE Security Bug Bounty Program」からの報告によるもの
■ 本脆弱性の修正日
2021年8月6日 14:04ごろ■ 不正利用の調査
調査日(2021年8月16日)時点のすべてのブログにおいて、当社にて保有している範囲のアクセスログ(2021年2月3日以降)を確認したところ、機械的、継続的に公開前の画像や動画の取得を試みるような痕跡は現時点では確認されていません。ただしアクセスログからでは正規のリクエストと不正なリクエストの区別が困難であったため、悪用が行われていないかの断定は難しい状況です。今後新たな事実が判明した場合には速やかに お知らせいたします。
なお、下記のケースについては調査の対象外となります。
・ログを保有していない期間(2016年11月14日の脆弱性発生時から2021年2月2日)
ユーザー様側で必要な対応
当社にて修正を完了しておりますため、ユーザー様側で必要な対応はありません。ユーザー様にはご迷惑とご心配をおかけし申し訳ございません。
お問い合わせについて
公開前の画像や動画が他のメディアやSNS等に転載されていた等、お気づきの点がありましたら、ヘルプページ内にあるお問い合わせフォームより、お問い合わせをお願いいたします。セキュリティ強化により再発防止を図り、公開前の情報の管理を改めて徹底すると共に信頼回復に努めてまいります。
今後ともLINE BLOGをよろしくお願いいたします。
用語
(*1) LINE Security Bug Bounty ProgramとはLINEが実施している、社外のセキュリティ研究者の方から脆弱性の報告を受けつけているプログラムです。https://bugbounty.linecorp.com/ja/