--- title: "MatchPoint の CVE-2026-111489・111490・111494: 固定の認証情報と API の ID 指定の不備で認証なしに他人の情報を読まれ、アカウントを操作される恐れ（CVSS v4.0 9.9、修正版は未確認）" url: https://n-t-p.io/worldsecurity/articles/matchpoint-cve-2026-111489-111490-111494-static-credential-idor-android-tls lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 緊急 cve: CVE-2026-111489, CVE-2026-111490, CVE-2026-111494 --- # MatchPoint の CVE-2026-111489・111490・111494: 固定の認証情報と API の ID 指定の不備で認証なしに他人の情報を読まれ、アカウントを操作される恐れ（CVSS v4.0 9.9、修正版は未確認） > **TL;DR:** MatchPoint のアプリと API の 3 件。固定の認証情報が autorizado トークンを返し認証なしで API に入れる（111489）、actingasuser ヘッダーの権限を確認せず連番 ID で他人の情報を読みアカウントを操作できる（111490）、Android アプリが証明書を検証しない（111494）。INCIBE-CERT 評価は CVSS v4.0 9.9・9.9・9.1。修正版は NVD に記載なし。 **要点** - NVD は 2026-11-05、MatchPoint の欠陥 3 件（CVE-2026-111489・111490・111494）を登録した。状態は Deferred。登録元は INCIBE-CERT で、勧告は共通。 - 111489 は、アプリ内の固定の認証情報が autorizado トークンを返し、認証なしで API を使える。111490 は、actingasuser ヘッダーの権限を確認せず、連番 ID の変更で他人の個人・金融情報の閲覧、アカウント変更、仮想残高の移動ができる（CWE-639）。 - 111494 は、Android アプリが任意の証明書とホスト名を受け入れ、HTTP 通信も許す（CWE-295）。通信を傍受できる攻撃者が前提。 - INCIBE-CERT 評価は CVSS v4.0 で 9.9・9.9・9.1。111489 と 111490 は認証不要で 9 以上のため severity 案は critical。KEV 掲載なし、EPSS は未算出。 - 影響を受ける版、修正版、勧告の本文、悪用の有無は未確認。利用者は修正版の有無を確認し、信頼できない回線を避け、パスワードを変更して不審な操作を点検する。 MatchPoint のモバイルアプリと API に、3 件の欠陥（CVE-2026-111489・CVE-2026-111490・CVE-2026-111494）が見つかりました。NVD への登録は 2026-11-05 で、状態は Deferred（評価保留）です。登録元はスペインの INCIBE-CERT で、3 件とも同じ INCIBE-CERT の勧告を参照しています。 ## 3 件の内容 | CVE | 内容 | CWE | CVSS v4.0 | |---|---|---|---| | CVE-2026-111489 | アプリに埋め込まれた固定の認証情報が `autorizado` トークンを返し、このトークンで認証なしに API サービスへアクセスできると報告された | 記載なし | 9.9（Critical） | | CVE-2026-111490 | API が `actingasuser` HTTP ヘッダーの利用者に対する権限を確認しない（IDOR）。連番の ID を変えるだけで、他人の個人・銀行・金融情報、非公開メッセージ、物理的な入場に使う QR コードを読める。第三者のアカウントの変更、パスワード変更、なりすまし、仮想残高の移動もできる | CWE-639 | 9.9（Critical） | | CVE-2026-111494 | Android アプリが、どんな証明書も受け入れる TrustManager と緩いホスト名検証を使い、暗号化されない HTTP 通信も許す。通信を傍受できる攻撃者が、認証情報や個人データを読み書きできる | CWE-295 | 9.1（Critical） | ## 何が起きるか - 111489 と 111490 は、ネットワーク越しに、認証なし・利用者の操作なしで到達できる評価（AV:N・AC:L・PR:N・UI:N）です。111490 の記載では、他人の個人情報や金融情報が読め、アカウントの乗っ取りや仮想残高の移動まで行えるとされています。 - 111494 は、攻撃者が被害者の通信を傍受できる位置にいること（公衆 Wi-Fi など）が前提です。評価では攻撃の条件が厳しい（AC:H・AT:P）扱いです。 - 111489 の「autorizado トークン」が何を指すか、どの API が対象かは、NVD の記載だけでは分かりません。 ## 評価 | 評価元 | 版 | 点数 | 備考 | |---|---|---|---| | INCIBE-CERT（NVD 上の Secondary） | CVSS v4.0 | 111489: 9.9、111490: 9.9、111494: 9.1 | 3 件とも Critical。ベクターは NVD の各ページを参照 | - NVD の最終評価は出ていません（Deferred）。点数は登録元が付けた値です。 - 111489 と 111490 は認証不要で CVSS 9 以上のため、基準に沿い severity は **critical** を案とします（確定はオーナーの判断待ち）。111494 も 9.1 ですが、傍受が前提です。 - CISA の KEV には載っていません（取得時点）。FIRST の EPSS は、取得時点（2026-11-06）でまだ値がありません。 ## 影響を受ける版と修正版 NVD には影響を受ける版も修正版も書かれていません。参照先の INCIBE-CERT 勧告の本文は、本稿の作成時に読み取れず、版や対策は確認できていません。 ## 利用者が考えられる対策 1. ベンダーの修正版が出ているかを確認し、MatchPoint のアプリを更新します。修正版の有無は未確認です。 2. 修正が確認できるまで、公衆 Wi-Fi など信頼できない回線でアプリを使うのを避けます（111494 への備え）。 3. アカウントのパスワードを変更し、身に覚えのない操作、残高の移動、設定変更がないかを確認します。 4. 運営側は、API で `actingasuser` ヘッダーの利用者に対する権限を検証し、アプリに固定の認証情報を持たせない設計にします。TLS の証明書とホスト名を正しく検証し、HTTP 通信を禁止します。 ## 未確認の点 - 影響を受ける版・修正版・修正の有無（NVD に記載なし）。 - INCIBE-CERT 勧告の本文（本稿では読み取れていない）。NVD では同じ勧告が MatchPoint の欠陥をほかにも挙げており、本稿が扱うのは 3 件だけです。 - 実際の悪用や PoC の有無、被害の有無。 - 「autorizado トークン」の仕様と、対象となる API の範囲。 - NVD の最終評価（現状は Deferred）。 ## 出典 - [NVD CVE-2026-111489](https://nvd.nist.gov/vuln/detail/CVE-2026-111489) — NIST NVD - [NVD CVE-2026-111490](https://nvd.nist.gov/vuln/detail/CVE-2026-111490) — NIST NVD - [NVD CVE-2026-111494](https://nvd.nist.gov/vuln/detail/CVE-2026-111494) — NIST NVD - [INCIBE-CERT 勧告（NVD の参照先。本文は読み取れず未確認）](https://www.incibe.es/en/incibe-cert/notices/aviso/multiple-vulnerabilities-tpc-softwares-matchpoint) — INCIBE-CERT - [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-111489) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/matchpoint-cve-2026-111489-111490-111494-static-credential-idor-android-tls