VitaFit Androidの脆弱性、悪意あるアプリに体重データの認証トークンを奪われるおそれ
概要
VitaFit Androidの2.8.1.0より前のバージョンには、悪意あるアプリが同じ戻り先のURIスキームを登録して、Fitbitのログイン用トークンを横取りできる脆弱性があります。横取りされると、体重や体脂肪の記録を読み取られたり、作成・削除されたりするおそれがあります。修正版の2.8.1.0が公開されているため、Androidアプリを更新してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
VitaFit Androidの2.8.1.0より前のバージョンには、悪意あるアプリが同じ戻り先のURIスキームを登録して、Fitbitのログイン用トークンを横取りできる脆弱性があります。横取りされると、体重や体脂肪の記録を読み取られたり、作成・削除されたりするおそれがあります。修正版の2.8.1.0が公開されているため、Androidアプリを更新してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. | VitaFit |
2.8.1.0 未満 |
2.8.1.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
VitaFit Android application (com.vt.vitafit) before 2.8.1.0 contains an insecure custom URI scheme vulnerability that allows a malicious application to intercept Fitbit login tokens by registering the same callback scheme (vitafit://vtio.cn). Attackers can capture the 30-day Fitbit authorization token with weight scope delivered in the callback URL to read, create, and delete the victim's weight and body-fat records via the Fitbit Body API.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com