- Yama var
- Son 7 gün
- CWE-266
CVE-2026-54382
VitaFit bulut API'sinde Cognito S3 erişiminde yanlış yapılandırılmış IAM yetkileri
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, uygulamayı kullanan kişilerin verilerinin üzerine yazılmasına ve kalıcı biçimde kaybolmasına yol açabilir. Saldırı için yalnızca geçerli bir kullanıcı hesabı yeterlidir, bu nedenle risk yüksektir. Uygulamanın güncellenmesi acil olarak planlanmalıdır.
ÖzetTürkçe
VitaFit bulut API'si, 2026-10-30 tarihinden önceki sürümlerde Cognito üzerinden verilen AWS rolünde yetersiz erişim denetimi içermektedir. Kimliği doğrulanmış saldırganlar, yalnızca kendi klasörlerine yazabilmeleri gerekirken paylaşılan S3 kovasının tamamına s3:PutObject yetkisiyle yazabilmektedir. Bu sorun, VitaFit kullanan tüm kullanıcıları etkilemektedir.
Saldırgan ne yapabilir?
Saldırgan, diğer kullanıcıların S3 nesnelerinin üzerine yazarak özgün içeriği silebilir veya değiştirebilir; bu işlem silme korumalarını tetiklemeden gerçekleşebilir.
Kaynaktaki açıklama (İngilizce)
VitaFit cloud API before 2026-10-30 contained an improper access control vulnerability in its Cognito-issued AWS role that allows authenticated attackers to perform s3:PutObject operations across the entire shared bucket instead of being restricted to their own folder. Attackers can overwrite other users' objects in the shared S3 bucket using credentials obtained via CVE-2026-54378, destroying original content without triggering deletion protections.
Ne yapmalı?
- VitaFit bulut API'sini 2026-10-30 veya sonrasındaki sürüme güncelleyin. Üretici
- Güncellemeyi uygulamadan önce, paylaşılan S3 kovasındaki nesnelerin yedeğini alın ve yetkisiz değişiklik olup olmadığını kontrol edin. Genel öneri
- Bu açıkla bağlantılı kimlik bilgisi sızıntısını kapatmak için ilgili kullanıcı oturumlarını ve erişim anahtarlarını yenileyin. Genel öneri
Ek önlemler
- S3 kovası üzerindeki bucket versioning özelliğini etkinleştirerek üzerine yazılan nesnelerin geri alınabilmesini sağlayın. Genel öneri
- Kullanıcı başına yazma yetkilerinin yalnızca kendi önekleriyle sınırlı olduğunu IAM politikalarında doğrulayın. Genel öneri
- S3 nesnesi üzerine yazma olaylarını izleyerek olağandışı toplu değişiklikleri takip edin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. VitaFit | < 2026-10-30 | 2026-10-30 |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- vulncheck.com/…aws-iam-misconfiguration-via-cognito-s3-access Üçüncü taraf
- github.com/je-lv/vitafit-security-research İstismar kodu ya da analiz
- play.google.com/store/apps/details Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.