JVNDB-2025-023497

 Tuya Inc.のSmartlife等の複数製品における複数の脆弱性

Tuya SDK 6.5.0（AndroidおよびiOS向け）のOAuth実装にはクロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在します。この脆弱性はTuya Smart、Smartlifeモバイルアプリ、およびSDKを統合した他のサードパーティ製アプリケーションに影響します。攻撃者は自身のAmazon Alexaアカウントを被害者のTuyaアカウントにリンクできる可能性があります。これは、アプリケーションがアカウントリンク処理中にOAuthのstateパラメータの検証を行わないため、CSRFに類似した攻撃が成立するためです。攻撃者が被害者に細工した認証リンクをクリックさせることで、OAuthフローを被害者の代わりに完了させ、最終的に被害者のTuya連携デバイスへAlexaを用いて不正アクセスできてしまいます。この脆弱性は、以前にAlexaとのリンクがあったかどうかやTuyaアプリケーションがその時点で起動しているかに関係なく影響を及ぼします。攻撃が成功した場合、カメラ、ドアベル、ドアロック、アラームなどのデバイスをリモートで操作される恐れがあります。

Tuya Inc.

• Smartlife 6.3.1
• Smartlife 6.3.4
• Tuya 6.5.0 未満
• Tuya Smart 6.3.1

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Tuya Inc.

• Tuya SRC : Tuya SRC

1. クロスサイトリクエストフォージェリ(CWE-352) [その他]
2. セッションの固定化(CWE-384) [その他]

1. CVE-2025-56400

1. National Vulnerability Database (NVD) : CVE-2025-56400

• [2026年01月06日]
    掲載