VitaFit Androidアプリに通信の暗号化を正しく検証しない脆弱性、通信内容が盗み見られるおそれ
概要
VitaFit Androidアプリ（2.8.1.0より前）には、TLS証明書の検証が不十分な脆弱性があり、ネットワーク上の攻撃者がHTTPS通信を傍受・改ざんし、アカウントのセッションや健康関連のAPIデータを取得するおそれがあります。修正版の2.8.1.0が提供されているため、速やかに更新してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
VitaFit Androidアプリ（2.8.1.0より前）には、TLS証明書の検証が不十分な脆弱性があり、ネットワーク上の攻撃者がHTTPS通信を傍受・改ざんし、アカウントのセッションや健康関連のAPIデータを取得するおそれがあります。修正版の2.8.1.0が提供されているため、速やかに更新してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. | VitaFit |
2.8.1.0 未満 |
2.8.1.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
VitaFit Android application (com.vt.vitafit) before 2.8.1.0 contains an insecure TLS/SSL certificate validation vulnerability that allows network-based attackers to intercept and modify HTTPS traffic by exploiting a custom X509TrustManager that trusts all certificates and a hostname verifier that accepts any hostname. Attackers can perform a man-in-the-middle attack to capture account sessions and health-related API data, and use a captured session to delete the account's authentication record and prevent legitimate login.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com