Jose Lomeli

توجد مشكلة في التحقق غير الآمن من شهادة TLS/SSL بسبب وجود X509TrustManager مخصص يثق في جميع الشهادات ومتحقق من اسم المضيف يقبل أي اسم مضيف. يسمح هذا للمهاجمين عبر الشبكة بتنفيذ هجوم man-in-the-middle لاعتراض وتعديل حركة مرور HTTPS. يمكن استخدام هذا الهجوم لالتقاط جلسات الحساب وبيانات API المتعلقة بالصحة، أو لحذف سجل مصادقة الحساب لمنع تسجيل الدخول المشروع.

يفتقر التطبيق إلى تكوين أمان شبكة Android، مما يسمح للمهاجمين عبر الشبكة باعتراض أو تعديل اتصالات HTTP غير المشفرة. تتيح هذه المشكلة للمهاجمين على الشبكات غير الموثوقة التلاعب بمحتوى الدعم المعروض للمستخدم من خلال التلاعب بحركة المرور بنص واضح بين التطبيق والخادم.

يحتوي التطبيق على بيانات اعتماد مدمجة، مما يسمح للمهاجمين باستخراج أسرار تكامل سرية لأطراف ثالثة من خلال إلغاء تجميع ملف APK (حزمة أندرويد). تمكن هذه العملية من استرداد بيانات الاعتماد المدمجة لـ WeChat و Tencent QQ و Fitbit لإساءة استخدام تسجيلات تطبيقات الطرف الثالث النشطة.

يسمح الإدارة غير الآمنة للجلسة باستخراج أو اعتراض رموز `m session id` غير المشفرة والمخزنة في نسخ الاحتياطية للتطبيق. تظل هذه الرموز صالحة لمدة عشر سنوات، مما يمكن المهاجم من قراءة وتعديل حساب الضحية أو حذف سجل المصادقة لمنع المالك الشرعي من تسجيل الدخول مرة أخرى.

يستخدم التطبيق مخطط URI مخصص غير آمن يسمح لتطبيق خبيث باعتراض رموز تسجيل الدخول إلى Fitbit من خلال تسجيل نفس مخطط الاستدعاء `vitafit://vtio.cn`. يمكن للمهاجم التقاط رمز تفويض Fitbit لمدة 30 يومًا بنطاق الوزن المرسل في عنوان URL الخاص بالاستدعاء، مما يمكنه من قراءة وإنشاء وحذف سجلات الوزن ودهون الجسم الخاصة بالضحية عبر Fitbit Body API.

يسمح وجود مرجع كائن مباشر غير آمن للمهاجمين المصرح لهم بالوصول إلى بيانات مستخدمين آخرين. من خلال استغلال العلاقات المتوقعة بين `user id` و `profile id` إلى جانب ضعف في تعداد الحسابات، يمكن للمهاجمين قراءة عناوين البريد الإلكتروني والملفات الشخصية وتقارير تكوين الجسم وسجل القياسات على نطاق واسع. تؤثر هذه المشكلة على نقاط النهاية التالية: - 'GET /front/profile/{profile id}/report/' - 'GET /front/profile/{profile id}/body index per day/' المعاملات المصابة هي `user id` و `profile id`.

يسمح خلل في التحكم في الوصول للمستخدمين المصرح لهم بالحصول على بيانات اعتماد AWS مؤقتة من خلال نقطة النهاية 'POST /front/user/s3/token/'. تمتلك بيانات الاعتماد هذه صلاحيات واسعة للغاية، مما يمكن المهاجمين من سرد حاوية التخزين المشتركة وقراءة أو الكتابة فوق ملفات المستخدمين الآخرين، مما يؤدي إلى وصول غير مصرح به إلى بيانات المستخدمين الآخرين والتلاعب بها.

يمكن للمهاجم المصرح له رفع صورة SVG تحتوي على JavaScript خبيث إلى حاوية التخزين المشتركة. تحدث هذه المشكلة بسبب فشل التطبيق في تقييد النصوص البرمجية أو فرض تنزيل محتوى `image/svg+xml` مما يؤدي إلى تنفيذ JavaScript عندما يفتح الضحية الملف عبر التنقل المباشر في المتصفح. هذا النوع من الثغرات يُعرف بـ cross-site scripting (XSS) المخزن، حيث يتم تخزين النص البرمجي الخبيث بشكل دائم على الخادم المستهدف.

يسمح تكوين خاطئ في حاوية تخزين سحابية للمهاجمين غير المصرح لهم بسرد وتنزيل الملفات المخزنة. تتيح هذه المشكلة تعداد حاوية يمكن الوصول إليها علنًا تحتوي على 129,947 كائنًا، بما في ذلك 126,881 صورة ملف شخصي قام المستخدمون بتحميلها، مما يؤدي إلى الوصول غير المصرح به إلى بيانات شخصية حساسة.

توجد مشكلة في التحكم غير الصحيح في الوصول في دور AWS الصادر عن Cognito. يسمح هذا للمهاجمين المصرح لهم بتنفيذ عمليات `s3:PutObject` عبر السلة (bucket) المشتركة بالكامل بدلاً من أن يكونوا مقيدين بمجلداتهم الخاصة. وبناءً على ذلك، يمكن للمهاجمين الكتابة فوق كائنات المستخدمين الآخرين في سلة S3 المشتركة، مما يؤدي إلى تدمير المحتوى الأصلي دون تفعيل حمايات الحذف.

تسمح مشكلة الكشف المفرط عن البيانات للمستخدمين المصرح لهم باسترداد معلومات تحديد الهوية الشخصية (PII) وبيانات الملف الشخصي المتعلقة بالصحة. من خلال الاستعلام عن نقطة النهاية 'GET /front/relation/search/' باستخدام مصطلحات بحث أبجدية رقمية متداخلة، يمكن للمهاجمين تعداد دليل المستخدمين لجمع رسائل البريد الإلكتروني، وتواريخ الميلاد، والجنس، والطول، وأهداف الوزن، وأرقام الهواتف، ومعرفات Firebase UIDs، ومعرفات أخرى.

يسمح تجاوز للمصادقة للمهاجمين عن بُعد بالحصول على جلسة كاملة لحساب الضحية. يتم ذلك عن طريق إرسال معرف حساب Google أو Facebook مرتبط إلى نقطة النهاية 'POST /front/login/sns/' دون تقديم إثبات ملكية من مزود الهوية. يمكن للمهاجمين استخدام المعرفات التي تم الحصول عليها من خلال تعداد الحسابات لقراءة وتعديل ملفات تعريف الضحايا أو حذف سجلات المصادقة، مما يمنع المستخدمين الشرعيين من الوصول إلى حساباتهم.