同じ製品で同じ時期に公表された 3 件の脆弱性の 1 つです。まとめた解説: MatchPointに脆弱性7件、アプリを最新版へ更新
MatchPoint Androidアプリで通信の脆弱性、認証情報が漏えいするおそれ
概要
MatchPoint Androidアプリは、TLS証明書の検証が不適切で、どの証明書も受け入れてしまう脆弱性があります。暗号化されていないHTTP通信も許されているため、通信を傍受できる攻撃者に認証情報や個人情報を読まれたり、書き換えられたりするおそれがあります。CVSSは9.1で、深刻度は緊急です。修正版の情報は確認できていないため、利用している場合は最新の情報を確認してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
MatchPoint Androidアプリは、TLS証明書の検証が不適切で、どの証明書も受け入れてしまう脆弱性があります。暗号化されていないHTTP通信も許されているため、通信を傍受できる攻撃者に認証情報や個人情報を読まれたり、書き換えられたりするおそれがあります。CVSSは9.1で、深刻度は緊急です。修正版の情報は確認できていないため、利用している場合は最新の情報を確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Incorrect validation of TLS certificates in the MatchPoint Android app due to a TrustManager that accepts any certificate and a permissive hostname validator. Additionally, the app allows unencrypted HTTP traffic. An attacker capable of intercepting the victim's traffic could read and modify communications, including credentials and personal data.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web incibe.es
- web nvd.nist.gov
- web github.com