- Yama var
- Son 7 gün
- CWE-295
CVE-2026-54372
VitaFit Android uygulamasında güvensiz TLS sertifika doğrulaması
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, uygulamanın kullanıcılarının hesap bilgilerini ve sağlık verilerini saldırganların eline geçirebilmesi anlamına gelir. Hesap kaybı ve kişisel verilerin ifşası gibi somut iş ve itibar riskleri doğurabilir. Uygulamanın güncellenmesi acil öncelik taşımaktadır.
ÖzetTürkçe
VitaFit Android uygulamasının (com.vt.vitafit) 2.8.1.0 sürümünden önceki sürümlerinde, TLS/SSL sertifika doğrulaması güvensiz biçimde yapılmaktadır. Uygulama, tüm sertifikaları kabul eden özel bir X509TrustManager ve her ana bilgisayar adını kabul eden bir hostname verifier kullanmaktadır. Etkilenen kullanıcılar, aynı ağdaki veya ağ üzerinden saldırı yapabilen kişilerin trafik uyarılarını fark etmeden kullanabileceği bir risk altındadır.
Saldırgan ne yapabilir?
Ağ üzerinden konumlanan bir saldırgan, ortadaki adam (MitM) saldırısıyla HTTPS trafiğini dinleyip değiştirebilir; hesap oturumlarını ve sağlıkla ilgili API verilerini ele geçirebilir. Ele geçirilen oturumla hesabın kimlik doğrulama kaydını silerek kullanıcının giriş yapmasını engelleyebilir.
Kaynaktaki açıklama (İngilizce)
VitaFit Android application (com.vt.vitafit) before 2.8.1.0 contains an insecure TLS/SSL certificate validation vulnerability that allows network-based attackers to intercept and modify HTTPS traffic by exploiting a custom X509TrustManager that trusts all certificates and a hostname verifier that accepts any hostname. Attackers can perform a man-in-the-middle attack to capture account sessions and health-related API data, and use a captured session to delete the account's authentication record and prevent legitimate login.
Ne yapmalı?
- VitaFit Android uygulamasını 2.8.1.0 veya sonraki bir sürüme güncelleyin. Üretici
- Güncelleme tamamlanana kadar, kullanıcıların herkese açık ya da güvenilmeyen Wi-Fi ağlarında uygulamayı kullanmamasını sağlayın. Genel öneri
- Hesap oturumlarının güvenliği için, şüpheli erişim fark edilen kullanıcıların parolalarını değiştirmelerini ve oturumlarını sonlandırmalarını önerin. Genel öneri
Ek önlemler
- Uygulama güncellemelerini ve mobil uygulama güvenlik bültenlerini düzenli olarak takip edin. Genel öneri
- Kurumsal cihazlarda, güvenilmeyen ağlarda sağlık ya da hesap verisi içeren uygulamaların kullanımını sınırlayın. Genel öneri
- Sunucu tarafında, şüpheli oturum kullanımı ve hesap kimlik doğrulama kaydı silme işlemleri için izleme ve uyarı kuralları oluşturun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. VitaFit | < 2.8.1.0 | 2.8.1.0 |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- vulncheck.com/…it-android-insecure-tls-certificate-validation Üçüncü taraf
- github.com/je-lv/vitafit-security-research İstismar kodu ya da analiz
- play.google.com/store/apps/details Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.