VitaFit Androidに長期間有効なセッショントークンが露出する脆弱性
概要
VitaFit Androidの2.8.1.0より前のバージョンには、セッショントークンの管理に問題がある脆弱性があります。アプリのバックアップに暗号化されていないm_session_idが残り、10年間有効なままになるため、抜き取られるとアカウントの閲覧や変更、認証情報の削除に悪用されるおそれがあります。修正版の2.8.1.0が公開されているので、速やかに更新してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
VitaFit Androidの2.8.1.0より前のバージョンには、セッショントークンの管理に問題がある脆弱性があります。アプリのバックアップに暗号化されていないm_session_idが残り、10年間有効なままになるため、抜き取られるとアカウントの閲覧や変更、認証情報の削除に悪用されるおそれがあります。修正版の2.8.1.0が公開されているので、速やかに更新してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. | VitaFit |
2.8.1.0 未満 |
2.8.1.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
VitaFit Android application (com.vt.vitafit) before 2.8.1.0 contains an insecure session management vulnerability that allows attackers to extract or intercept unencrypted m_session_id tokens stored in application backups, which remain valid for ten years. Attackers can use a stolen session token to read and modify the victim's account or delete the account's authentication record, preventing the legitimate owner from logging in again.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com