弊室の細島涼雅が、Proton社が提供する暗号化メールサービス「Proton Mail」のWebクライアントにおける脆弱性を発見し、同社のバグバウンティプログラムを通じて報告しました。

今回報告した脆弱性は、HTMLメールに対するサニタイズ処理を迂回できるものでした。 報告した脆弱性は修正済みです。

報告は、検証用に用意したアカウントとサーバーのみを使用し、Protonの定める手順に従って責任ある開示として行いました。 その後、Protonによって脆弱性が確認・修正され、報奨金が授与されました。

また、Protonのセキュリティ向上に貢献した研究者を紹介する公式の「Proton Security Contributors」ページに掲載されました。

• Protonバグバウンティプログラム
• Proton Security Contributors

産学間連携推進室では、所属する学類・学群を問わず、研究に強い意欲を持つ方を歓迎しています。 見学や入室応募は随時受け付けています。少しでも興味を持っていただけた方は、ぜひお気軽にお問い合わせください。