【Peing】質問箱に脆弱性 ツイッターを乗っ取られる恐れ アプリの解除方法は？

匿名質問サービス質問箱「Peing(ペイング) 」に脆弱性が見つかり、連携しているTwitterアカウントが乗っ取られたり、非公開ツイートやダイレクトメッセージを不正に取得されるおそれがあることがわかりました。解決方法は、Peingアプリの連携を解除することです。アプリ連携状況をご確認ください。

2019.01.28 21:52:26

情報の訂正です。Peingアプリの権限は「読み取り」および「書き込みのみ」で、ダイレクトメッセージへのアクセス権は持っていないことがわかりました。そのため、ダイレクトメッセージを不正に取得もしくは送信されるおそれはありませんが、非公開ツイートを不正に取得されるおそれがあります。

2019.01.28 22:03:09

【デマに注意】ダイレクトメッセージは見られることはありません。 #Peing t.co/lBHoCbpAEK

2019.01.28 22:00:10

@UN_NERV @scss_coma その書き方だと非公開にしていない人が問題ないようにも見えますが、同じく危険な状態で、取得だけでなくツイートやいいね、ツイッター名の変更やプロフィールの書き換えも可能だと思います
いずれにせよ連携解除は必須です
（揚げ足を取る感じですみません😓）

画像はTwitter APIの権限選択画面 https://t.co/1CFy6IrZQp

2019.01.28 22:31:57

緊急のメンテナスを実施します。ご迷惑をおかけして大変もう申し訳ありません。

2019.01.28 21:35:28

@Peing_net Peingさん焦りすぎてるのか
「メンテナンス」を「メンテナス」って言ってるし画面は2018.12.10やから過去のやつやし笑

2019.01.28 21:39:08

DMは仕様で表示されませんがメアドまでは取得されますよ〜 いずれにせよ連携解除した方が吉ですね

2019.01.28 22:02:13

Peing-質問箱-含め、アプリ連携解除(スマホ版) #拡散希望

・スマホのブラウザでTwitterにログイン
・「設定とプライバシー」→「アカウント」→「アプリとセッション」から該当のアプリを選択して、連携解除 https://t.co/RYBeUUynWg

2019.01.28 22:02:15

peingの脆弱性
1.トークンほしい人のユーザーページ開きます
2.F12押します
3.生トークンが載ってます
以上

2019.01.28 21:33:56

ずっとこれなのに今まで気づかれなかったのが逆にすごいと思う

2019.01.28 21:36:01

買収以前はこんな脆弱性ありませんでした
元開発者のせせりさんは悪くないのでそこだけ

2019.01.28 21:47:51

脆弱性を見つけたときはツイートせずにIPAなどに報告しましょう
まあpeingは↓だったのではい
t.co/MQwHIsgKko

2019.01.28 22:02:24

@jyomu__ 俺も分からん
頭おかしい

2019.01.28 21:35:31

@jyomu__ yes

2019.01.28 21:36:21

@kgtkr 確認なんだけどトークンってAPIで操作するためのキーみたいなやつやんな？

2019.01.28 21:36:13

@kgtkr どういう設計したらそうなるのか後学のために教えて欲しいんだけど公開ページにトークンって何ら必要ない気が

2019.01.28 21:35:19

Peingの脆弱性、ちゃんと報告したのに多分内容まともに見られずに一部のみ修正になってて、結局炎上してるけれどもう僕は知らない

2019.01.28 21:17:23

メンテ始まったので流石に修正されないままメンテ終わることはないだろうしもう悪用できないから t.co/A3llOOJrMb

2019.01.28 21:56:52

@kgtkr 恐らく、設計レベルで良くないですよね。でも、サービス提供者は根本解決や詳細な調査をせずに、とりあえずこの画面だけ修正してサービスを再開するかもしれません。

最悪の場合は、次々と似たような脆弱性が出てくるかも。

私はしばらくの間このアプリのアクセス権を外して様子を見ます。

2019.01.28 22:10:28

@wbcchsyn このレベルの脆弱性生むってかなりだと思うからそれがいいと思う

2019.01.28 22:11:25

@kgtkr !?　もんのすげえガバさだ……

2019.01.28 21:52:58