DavaIndiaの公開管理APIにより、見知らぬ者が薬局チェーンのスーパー管理者権限を掌握

グジャラート州に本社を置くZota Healthcareの小売部門であるDavaIndia Pharmacyは、インド全土で2,300店舗以上を展開し、1月には276店舗の新規開設を発表、さらに2年以内に1,200～1,500店舗を追加する計画を進めるなど、急速な拡大を続けていた。セキュリティ研究者のEaton Zveare氏によると、同社のウェブサイトは安全でない「スーパー管理者」用アプリケーションプログラミングインターフェース（API）を稼働させていた。

この欠陥により、認証を受けていないユーザーが高い権限を持つスーパー管理者アカウントを作成できた。そこから攻撃者は、顧客情報を含む数千件のオンライン注文を閲覧し、商品リストや価格を変更し、割引クーポンを作成し、処方箋が必要な医薬品を変更し、サイトのコンテンツを編集することもできた。これはサイト改ざんや業務妨害を行うのに十分な権限だった。

Zveare氏は2025年8月、インドのサイバー緊急対応機関であるCERT-Inにこの問題を報告した。脆弱性は数週間以内に修正されたが、企業からの確認が当局に届いたのは11月下旬だった。TechCrunchがZotaのCEO、Sujit Paul氏に送ったメールには返信がなかった。修正前にこの欠陥が悪用された形跡はなかった。

約17,000件のオンライン注文（氏名、電話番号、メールアドレス、住所、支払金額、購入商品）が露出し、さらに883店舗にわたる管理機能が約1年間にわたり露出した。

急速な店舗拡大がセキュリティレビューを追い越した。脆弱なインターフェースはプラットフォームとともに提供され、2024年後半以降ずっと稼働し続けていた。

薬局での購入は本質的に機微な情報である。注文データは、悪用がなくても健康状態や気まずい購入を明らかにする可能性がある。

認証不要の管理者作成エンドポイントは、一度の修正で済む種類のバグであり、本番環境で1年間も存続すべきものではない。

管理画面は攻撃対象領域である。薬局の注文データは健康データであり、認証不要の管理者作成エンドポイントは鍵のかかっていない薬局のようなものだ。

このバグは2025年8月のCERT-Inへの報告から数週間以内に修正され、2025年11月下旬にサイバー当局へ確認が提供された。研究者は修正後に公表した。