VitaFit cloud APIの脆弱性2件、攻撃コード公開、修正版あり
VitaFitのcloud APIに、他人のアカウントを乗っ取れる脆弱性と、他の利用者のファイルを読み書きできる脆弱性が見つかりました。2026-10-30版で修正されており、社内で使っているかと適用状況を提供元の告知で確認してください。
同じ発表の脆弱性 2 件
- CVE-2026-54384 重大 9.8
- CVE-2026-54378 重大 9.6
急ぎ度: 早めに
認証なしで遠隔からアカウントを奪える脆弱性がCVSS v3で9.8と重く、攻撃コードへの参照も付いていますが、修正は2026-10-30版で提供済みで、利用側の作業は確認が中心になるためです。
関係があるか
VitaFitのアプリやcloud APIを、従業員向けの健康施策、貸与端末、連携サービスなどで使っている組織が対象です。個人のスマートフォンで従業員が使っている場合も、業務に関する情報を登録していれば関係します。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| VitaFit cloud API（提供元は Shenzhen Shine Industrial Co., Ltd.） | 2026-10-30より前 | 2026-10-30 |
確かめ方
- 1情報システム部門の資産台帳、MDMのアプリ一覧、福利厚生や健康増進施策の担当部署への聞き取りで、VitaFitを使っている部署や従業員がいないか洗い出す。
- 2利用が見つかったら、アカウントにGoogleやFacebookの連携ログインを使っている人がいるかを確認する。
- 3提供元の告知で、cloud APIの2026-10-30版が自社の利用環境に反映済みかを確認する。分からなければ提供元に問い合わせる。
何が起きたか
VitaFitのcloud APIに、2026-10-30より前の版で見つかった脆弱性が2件あります。どちらもアカウントの認証とアクセス制御の不備で、悪用されると他人のアカウントを自分のものとして操作されたり、他の利用者が保存したファイルを読み書きされたりします。
- CVE-2026-54384: GoogleまたはFacebookの連携アカウント識別子を送るだけで、本人確認の証明なしに被害者のセッションを得られる。プロフィールの閲覧・変更に加え、認証記録を削除されて本人がログインできなくなる（CVSS v3は9.8、v4は9.3）
- CVE-2026-54378: ログイン済みの利用者なら誰でも、範囲が広すぎる一時的なAWS認証情報を取得できる。共有ストレージの一覧を見て、他の利用者のファイルを読んだり上書きしたりできる（CVSS v3は9.6、v4は9.3）
公表情報には、攻撃コードに当たる資料へのリンクが付いています。
版が日付で示されていることから、修正は提供元のサーバー側で入るものとみられます。利用側でパッチを当てる作業は少なく、急ぐ点は、反映の確認と、修正前に被害が出ていないかの確認でしょう。
攻撃の流れ
-
1
識別子の入手
被害者の連携アカウント識別子を、アカウントの存在確認を通じて把握する。
-
2
なりすましログイン
ログインAPIに識別子を送り、提供元の本人確認を経ずにセッションを得る。
-
3
アカウントの改ざん
プロフィールを読み書きし、認証記録を消して本人をログインできなくする。
-
4
広い権限の取得
ログイン済みの利用者が、範囲の広すぎる一時的なストレージ用認証情報を取得する。
-
5
他人のファイル操作
共有ストレージで他の利用者のファイルを読み、上書きする。
どう悪用されるか
CVE-2026-54384は、認証が不要で、ネットワーク越しに実行でき、被害者の操作も要りません。必要なのは被害者の連携アカウント識別子で、アカウントの存在確認を通じて把握できるとされています。
CVE-2026-54378は、ログイン済みであることが前提です。ただし一般の利用者アカウントで足りるため、条件は低く、自分のアカウントを持つ者なら他の利用者のデータに触れられます。
被害は、アカウントの乗っ取りとプロフィールの改ざん、本人のログイン不能、他の利用者が保存したファイルの閲覧と上書きです。ファイルの内容は利用者ごとに違うため、被害の大きさは何が保存されていたかで決まります。
今すぐやること
-
1
利用の有無を洗い出す
VitaFitを使っている部署と従業員を把握します。会社が配布した端末だけでなく、従業員が自分の端末で業務に関する情報を登録していないかも聞き取ります。
-
2
修正の反映を提供元に確認する
提供元の告知で、cloud APIの2026-10-30版が反映済みかを確認します。アプリ側の更新が必要かどうかも、あわせて告知で確かめます。
-
3
アカウントの異常を調べる
プロフィールに覚えのない変更がないか、急にログインできなくなった人がいないかを利用者に確認します。見つかったら、提供元に連絡してアカウントの復旧と調査を依頼します。
-
4
保存データの内容を整理する
アプリに保存されていた情報に、個人情報や社内の情報が含まれていないかを確認します。含まれていれば、法務や個人情報の担当部署に共有し、通知の要否を検討します。
すぐ更新できないとき
修正の反映を確認できるまでは、社内での利用を一時的に止めるか、機微な情報の登録とファイルの保存を控えます。cloud API側の不備なので、利用者の手元で脆弱性そのものをふさぐ方法は示されていません。
背景
VitaFitのcloud APIは、アプリの利用者アカウント、プロフィール、保存ファイルを受け持つサーバー側の窓口です。利用者の端末にソフトウェアを入れ直しても直らず、修正は提供元がサーバーに反映する形になります。そのため、利用する組織は、修正の反映を自分で確認する手段が限られます。
CVE-2026-54384は、GoogleやFacebookのアカウントでログインする連携ログインの仕組みに関わります。この仕組みは、連携先が本人だと証明した結果をサービス側が検証して成り立ちます。今回は、その証明を求めずに識別子だけでログインできた点が問題です。CVE-2026-54378は、ストレージを使うための一時的な認証情報の範囲が広すぎた例で、本来は各利用者の保存領域だけに絞るはずのものでした。
よくある質問
Q.従業員が個人のスマートフォンで使っているだけでも、会社に関係しますか。
Q.修正が反映されたなら、過去に狙われたかどうかを調べる必要はありませんか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. | VitaFit |
2026-10-30 未満 |
2026-10-30 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
VitaFit cloud API before 2026-10-30 contained an authentication bypass vulnerability that allows remote attackers to obtain a full session for a victim's account by submitting a linked Google or Facebook account identifier to the POST /front/login/sns/ endpoint without providing proof of ownership from the identity provider. Attackers can forge a login using an identifier exposed through account enumeration to read and modify the victim's profile and delete the account's authentication record, preventing the legitimate user from logging in.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com