MatchPoint Androidアプリで通信の脆弱性、認証情報が漏えいするおそれ
Summary
MatchPoint Androidアプリは、TLS証明書の検証が不適切で、どの証明書も受け入れてしまう脆弱性があります。暗号化されていないHTTP通信も許されているため、通信を傍受できる攻撃者に認証情報や個人情報を読まれたり、書き換えられたりするおそれがあります。CVSSは9.1で、深刻度は緊急です。修正版の情報は確認できていないため、利用している場合は最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
MatchPoint Androidアプリは、TLS証明書の検証が不適切で、どの証明書も受け入れてしまう脆弱性があります。暗号化されていないHTTP通信も許されているため、通信を傍受できる攻撃者に認証情報や個人情報を読まれたり、書き換えられたりするおそれがあります。CVSSは9.1で、深刻度は緊急です。修正版の情報は確認できていないため、利用している場合は最新の情報を確認してください。
Original description The description as published by the source.
Incorrect validation of TLS certificates in the MatchPoint Android app due to a TrustManager that accepts any certificate and a permissive hostname validator. Additionally, the app allows unencrypted HTTP traffic. An attacker capable of intercepting the victim's traffic could read and modify communications, including credentials and personal data.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web incibe.es
- web nvd.nist.gov
- web github.com