VitaFit Androidアプリに通信の暗号化を正しく検証しない脆弱性、通信内容が盗み見られるおそれ
Summary
VitaFit Androidアプリ（2.8.1.0より前）には、TLS証明書の検証が不十分な脆弱性があり、ネットワーク上の攻撃者がHTTPS通信を傍受・改ざんし、アカウントのセッションや健康関連のAPIデータを取得するおそれがあります。修正版の2.8.1.0が提供されているため、速やかに更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
VitaFit Androidアプリ（2.8.1.0より前）には、TLS証明書の検証が不十分な脆弱性があり、ネットワーク上の攻撃者がHTTPS通信を傍受・改ざんし、アカウントのセッションや健康関連のAPIデータを取得するおそれがあります。修正版の2.8.1.0が提供されているため、速やかに更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. | VitaFit |
< 2.8.1.0 |
2.8.1.0 |
Original description The description as published by the source.
VitaFit Android application (com.vt.vitafit) before 2.8.1.0 contains an insecure TLS/SSL certificate validation vulnerability that allows network-based attackers to intercept and modify HTTPS traffic by exploiting a custom X509TrustManager that trusts all certificates and a hostname verifier that accepts any hostname. Attackers can perform a man-in-the-middle attack to capture account sessions and health-related API data, and use a captured session to delete the account's authentication record and prevent legitimate login.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com