Jose Lomeli

Existe um problema de validação insegura de certificado TLS/SSL devido a um X509TrustManager personalizado que confia em todos os certificados e um verificador de nome de host que aceita qualquer nome de host. Isso permite que atacantes baseados em rede realizem um ataque de man-in-the-middle para interceptar e modificar o tráfego HTTPS. Tal ataque pode ser usado para capturar sessões de conta e dados de API relacionados à saúde, ou para excluir o registro de autenticação de uma conta para impedir o login legítimo.

O aplicativo carece de uma configuração de segurança de rede Android, o que permite que atacantes baseados em rede interceptem ou modifiquem comunicações HTTP não criptografadas. Este problema permite que atacantes em redes não confiáveis manipulem o conteúdo de suporte exibido ao usuário, adulterando o tráfego em texto claro entre o aplicativo e o servidor.

O aplicativo contém credenciais codificadas, o que permite que invasores extraiam segredos confidenciais de integração de terceiros ao descompilar o APK (Android Package). Esse processo permite a recuperação de credenciais incorporadas do WeChat, Tencent QQ e Fitbit para abusar de registros ativos de aplicativos de terceiros.

O gerenciamento inseguro de sessão permite a extração ou interceptação de tokens `m session id` não criptografados armazenados em backups do aplicativo. Esses tokens permanecem válidos por dez anos, permitindo que um invasor leia e modifique a conta da vítima ou exclua o registro de autenticação para impedir que o proprietário legítimo faça login.

O aplicativo utiliza um esquema de URI personalizado inseguro que permite que um aplicativo malicioso intercepte tokens de login do Fitbit ao registrar o mesmo esquema de callback `vitafit://vtio.cn`. Um invasor pode capturar o token de autorização do Fitbit de 30 dias com escopo de peso entregue na URL de callback, permitindo ler, criar e excluir registros de peso e gordura corporal da vítima via Fitbit Body API.

Uma referência direta a objeto insegura permite que atacantes autenticados acessem dados de outros usuários. Ao explorar relações previsíveis entre `user id` e `profile id`, combinadas com uma fraqueza de enumeração de contas, atacantes podem ler endereços de e-mail, perfis, relatórios de composição corporal e histórico de medições em escala. O problema afeta os seguintes endpoints: - 'GET /front/profile/{profile id}/report/' - 'GET /front/profile/{profile id}/body index per day/' Os parâmetros vulneráveis são `user id` e `profile id`.

Um controle de acesso quebrado permite que usuários autenticados obtenham credenciais temporárias da AWS através do endpoint 'POST /front/user/s3/token/'. Essas credenciais possuem escopos excessivamente amplos, permitindo que invasores listem o bucket de armazenamento compartilhado e leiam ou sobrescrevam arquivos de outros usuários, resultando em acesso e manipulação de dados não autorizados entre usuários.

Um invasor autenticado pode fazer o upload de uma imagem SVG contendo JavaScript malicioso para o bucket de armazenamento compartilhado. O problema ocorre porque a aplicação falha em restringir scripts ou forçar o download de conteúdos `image/svg+xml`, permitindo que o JavaScript seja executado quando uma vítima abre o arquivo via navegação direta no navegador. Trata-se de um problema de cross-site scripting (XSS) armazenado, onde um script malicioso é permanentemente armazenado no servidor alvo.

Um bucket de armazenamento em nuvem mal configurado permite que atacantes não autenticados listem e baixem arquivos armazenados. Este problema permite a enumeração de um bucket acessível publicamente contendo 129.947 objetos, incluindo 126.881 imagens de perfil enviadas por usuários, levando ao acesso não autorizado a dados pessoais sensíveis.

Existe um problema de controle de acesso inadequado na função AWS emitida pelo Cognito. Isso permite que invasores autenticados realizem operações `s3:PutObject` em todo o bucket compartilhado, em vez de serem restritos à sua própria pasta específica. Consequentemente, invasores podem sobrescrever objetos pertencentes a outros usuários no bucket S3 compartilhado, resultando na destruição do conteúdo original sem acionar as proteções de exclusão.

Um problema de exposição excessiva de dados permite que usuários autenticados recuperem informações de identificação pessoal (PII) e dados de perfil relacionados à saúde. Ao consultar o endpoint 'GET /front/relation/search/' usando termos de pesquisa alfanuméricos sobrepostos, invasores podem enumerar o diretório de usuários para coletar e-mails, datas de nascimento, gênero, altura, metas de peso, números de telefone, UIDs do Firebase e outros identificadores.

Uma falha de bypass de autenticação permite que atacantes remotos obtenham uma sessão completa da conta de uma vítima. Isso é feito enviando um identificador de conta do Google ou Facebook vinculado ao endpoint 'POST /front/login/sns/' sem fornecer prova de propriedade do provedor de identidade. Atacantes podem usar identificadores obtidos por meio de enumeração de contas para ler e modificar perfis de vítimas ou excluir registros de autenticação, impedindo que usuários legítimos acessem suas contas.