JVNDB-2026-009285

cryptomatorにおける複数の脆弱性

Cryptomator for Androidは、クラウド内のファイルに対してマルチプラットフォームの透過的なクライアントサイド暗号化を提供します。バージョン1.12.3より前のバージョンには、整合性チェックの脆弱性があり、攻撃者がボールトの設定ファイルを改ざんでき、Hubのキー読み込み機構において中間者攻撃を引き起こす可能性がありました。この脆弱性が存在した期間中、クライアントはボールト設定からのエンドポイントのホストの正当性をチェックせずに信頼していたため、正当な認証エンドポイントと悪意のあるAPIエンドポイントを混在させることでトークンの漏洩を許してしまう可能性がありました。影響を受けるのは、攻撃者がvault.cryptomatorファイルを改変可能な環境で該当クライアントバージョンを使用してHub対応ボールトを解除するユーザーです。本問題はバージョン1.12.3で修正されています。

cryptomator

• cryptomator 1.12.2 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Tampered vault configuration allows MITM attack on Hub API  Advisory  cryptomator/android  GitHub

1. 同一生成元ポリシー違反(CWE-346) [その他]
2. データの整合性検証不備(CWE-354) [その他]
3. ユーザインターフェースにおける重要情報の誤った表示(CWE-451) [その他]
4. 意図するエンドポイントとの通信チャネルの不適切な制限(CWE-923) [その他]

1. CVE-2026-32317

1. National Vulnerability Database (NVD) : CVE-2026-32317
2. 関連文書 : Release 1.12.3  cryptomator/android  GitHub

• [2026年03月31日]
    掲載