スマートフォンアプリ「日本科学未来館アシストアプリ」にXSS脆弱性、WebView上で表示改ざんの可能性

スマートフォンアプリ「日本科学未来館アシストアプリ」で、WebView上の表示部分に不正なスクリプトを差し込めるXSS（クロスサイトスクリプティング）の脆弱性があることが明らかになった。

事案の詳細

今回対象となったのは、国立研究開発法人科学技術振興機構（JST）が提供するスマートフォン向けアプリ「日本科学未来館アシストアプリ」で、クロスサイトスクリプティング（XSS）の脆弱性が指摘された。XSSは、画面表示のために扱われる入力値の処理が不適切な場合に、攻撃者が用意したスクリプトが実行され得る問題として知られている。

IPAおよびJPCERT/CCが公開した「Japan Vulnerability Notes（JVN）」（JVN#09266484）によれば、影響を受けるのは、Android版「日本科学未来館アシストアプリ」1.1.7より前のバージョンと、iOS版「日本科学未来館アシストアプリ」1.0.7より前のバージョンとされている。また、本脆弱性にはCVE-2026-73537が割り当てられており、当該製品の中で動作しているブラウザコンポーネント（WebView）上でスクリプトを実行され、結果としてページの表示が改ざんされる可能性があると説明されている。

公開情報からは、このアプリにXSSの脆弱性が存在すること、影響を受けるバージョン、そしてWebView上で表示改ざんが起こり得ることが事実として確認できる。一方で、どの画面や具体的な機能が影響を受けるのか、どの入力経路が原因となるのか、詳細な再現条件、修正版の提供開始日などの具体的事項は現時点で公表情報からは読み取れない。脆弱性の深刻度評価については、CVSS基本値が中程度として示されているものの、具体的な利用シナリオごとのリスク差などは詳細は現時点で不明である。

また、現時点で被害の有無や、悪用が確認されたかどうか、利用者情報が影響を受けたかといった点も、提示された情報からは断定できない。したがって本件は、「当該アプリにXSSの脆弱性が存在し、特定バージョンでWebView上の表示改ざんが起こり得ることが示された」という事実に基づき、利用者と運用側が警戒すべきセキュリティ上の注意喚起として受け止める必要がある。

影響と背景

XSSは、ユーザーが見る画面に「本来ないはずの命令」を紛れ込ませることで、利用者側の操作や表示に影響を与え得る脆弱性として広く知られている。スマートフォンアプリであっても、画面内でWebコンテンツを表示したり、外部サービスと連携して情報を取り扱ったりする設計がある場合、入力値の扱いが不適切だと同種の問題が起き得る。今回の件では、アプリ内で利用されているブラウザコンポーネント（WebView）上で任意のスクリプトが実行される可能性があるため、表示されるコンテンツの改ざんや、利用者に誤った情報を提示するリスクが指摘されている。

このようなモバイルアプリにおけるXSSは、一般的なWebサイトと同様に、入力値の検証や出力時のエスケープ処理が不十分な場合に発生する。利用者が日常的に利用する案内系・サービス系アプリでも、内部的にWeb技術を用いるケースが増えており、Web脆弱性対策をアプリ側で適切に行う必要があることを改めて示す事案と言える。

対策・今後の展望

• 利用者側：アプリの提供元が修正版や更新（Android版1.1.7以降、iOS版1.0.7以降）を案内している場合は、速やかにアップデートを適用する。端末のOSや関連アプリも含め、更新が保留になっていないか確認する。JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。
• 運用・開発側：入力値の検証（想定外の文字列を受け付けない）と、画面に出す際の適切な無害化処理（スクリプトとして解釈されないようにする）を徹底する。特に、WebViewなどブラウザコンポーネントへ渡す文字列について、サニタイズやエスケープ処理を適用することが重要である。影響範囲の特定と、利用者への周知を分かりやすい手順で行い、修正版の提供方針や更新手順を案内する。
• 共通：不審な表示や意図しない画面遷移など、通常と異なる挙動があれば利用を中断し、公式の案内を確認する。脆弱性情報やアップデート情報を定期的に確認し、組織としてはJVNやベンダーからのアドバイザリを継続的にウォッチすることが望ましい。

CSRIからの現場アドバイス

【現場で何が起きているか】CSRIの診断では、問い合わせフォームや検索欄、アプリ内のWeb表示部分で「入力の無害化」が未徹底のまま残る例が目立つ。監視・運用の現場でも、不審なリダイレクトやブラウザ系コンポーネントの異常挙動が端緒になるケースがあり、今回のようなモバイルアプリのXSS脆弱性も同様の背景を持つと考えられる。

【平易な解説】例えるなら、掲示板の張り紙に見せかけて「読む人のスマホに命令する紙」を混ぜるようなものです。つまり、表示に使う文章の中へ攻撃者の命令が入り込み、画面上で実行される可能性があるということです。

【今週中にできること】まず社内端末で、問題のアプリや関連アプリが最新かを確認し、更新を徹底してください。次に、業務で使うWebフォームやアプリ内入力がある場合、テスト環境で想定外の文字列を入れても崩れないか担当者に確認し、異常があれば改修依頼を回します。併せて、JVNなど公的な脆弱性情報サイトを定期的に確認し、自社で利用するソフトウェアやアプリに関連する注意喚起が出ていないかをチェックする体制づくりを検討してください。

参照: スマートフォンアプリ「日本科学未来館アシストアプリ」に XSS の脆弱性