「車検証閲覧アプリ」に送信データへの機微な情報の挿入の脆弱性、API連携用認証情報が漏えいする可能性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）は2026年10月15日、国土交通省が提供する「車検証閲覧アプリ」に、送信データへの機微な情報の挿入に関する脆弱性があるとして、Japan Vulnerability Notes（JVN）で情報を公開した。脆弱性の識別番号はCVE-2026-75559で、API連携用のアクセスIDおよびアクセスキーが漏えいする可能性がある。

事案の詳細

今回指摘されたのは、「車検証閲覧アプリ」のAPI連携機能における「送信データへの機微な情報の挿入」の脆弱性だ。国土交通省が提供する同アプリには、車検証を扱う事業者向けに車検証情報を提供するAPI連携機能が実装されており、その仕様に問題が存在する。

影響を受けるのは、車検証閲覧アプリのAndroid版およびiOS版のバージョン6.2.0以前。想定される影響は、API連携用のアクセスIDおよびアクセスキーが漏えいする可能性があることだ。脆弱性はCVE-2026-75559（JVN#94004488）として管理されている。

本脆弱性は井尻翔氏から報告された。開発者は、API利用事業者に対して新しいアクセスIDおよびアクセスキーを発行し、漏えいする可能性があるアクセスIDおよびアクセスキーを無効化している。このため、公開情報上、本脆弱性を悪用することはできないとされている。実際の被害の有無や詳細な影響範囲については、現時点で不明である。

影響と背景

本件では、車検証情報そのものではなく、API連携に使用するアクセスIDおよびアクセスキーが漏えいする可能性が問題となった。これらの認証情報が漏えいすると、API利用事業者の連携環境に影響するおそれがあるため、対象バージョンを利用している事業者は、提供元の案内に従って認証情報の更新状況を確認する必要がある。

車検証閲覧アプリは、電子車検証の情報確認に加え、車検証情報ファイルの出力や、リコール情報など車検証情報以外の情報の確認にも利用される。特に事業者向けのAPI連携では、アプリと外部システム間で情報を扱うため、アプリ本体だけでなく連携用の認証情報を適切に管理することが重要となる。

対策・今後の展望

JVNは、開発者が提供する情報を確認し、対象アプリを最新版へアップデートするよう呼びかけている。Android版、iOS版ともにバージョン6.2.0以前が影響を受けるため、利用者は端末にインストールされているアプリのバージョンを確認する必要がある。

• 最新版への更新：Android版またはiOS版のバージョン6.2.0以前を利用している場合は、アプリストアから最新版へ更新する。
• API認証情報の確認：API利用事業者は、新たに発行されたアクセスIDおよびアクセスキーへの切り替え状況を確認する。
• 旧認証情報の利用停止確認：漏えいする可能性があるアクセスIDおよびアクセスキーが無効化されていることを、開発者または関係機関の案内で確認する。
• 利用環境の把握：社内で当該アプリを利用している端末やAPI連携システムを整理し、更新漏れがないか確認する。
• 追加案内の追跡：国土交通省、IPA、JPCERT/CCまたはアプリ提供元から追加情報が公表された場合は、内容に沿って対応する。

CSRIからの現場アドバイス

【現場で何が起きているか】CSRIが支援する中小企業の診断では、業務端末に導入されたアプリの通信先やAPI連携の認証情報を把握できていない例がある。今回のようにアプリのAPI連携機能が問題となる場合、アプリの利用有無だけでなく、どの事業者システムと連携しているか、どの認証情報を使用しているかを確認する必要がある。

【平易な解説】例えるなら、業務システムと外部サービスをつなぐための合鍵が、送信処理の問題によって外部に知られる可能性がある状態だ。今回は開発者が新しいアクセスIDおよびアクセスキーを発行し、旧認証情報を無効化しているため、利用者は新しい認証情報への切り替えとアプリの更新を確認すればよい。

【今週中にできること】まず社内で「車検証閲覧アプリ」の利用端末とAPI連携の有無を確認し、Android版・iOS版のバージョンを一覧化する。次に、対象バージョンを最新版へ更新し、API利用事業者は新しいアクセスIDおよびアクセスキーへの切り替え状況を確認する。最後に、国土交通省、IPA、JPCERT/CCおよび提供元からの追加案内を定期的に確認する。

参照: 「車検証閲覧アプリ」に送信データへの機微な情報の挿入の脆弱性