Tuya SDK 6.5.0（AndroidおよびiOS向け）のOAuth実装にはクロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在します。この脆弱性はTuya Smart、Smartlifeモバイルアプリ、およびSDKを統合した他のサードパーティ製アプリケーションに影響します。攻撃者は自身のAmazon Alexaアカウントを被害者のTuyaアカウントにリンクできる可能性があります。これは、アプリケーションがアカウントリンク処理中にOAuthのstateパラメータの検証を行わないため、CSRFに類似した攻撃が成立するためです。攻撃者が被害者に細工した認証リンクをクリックさせることで、OAuthフローを被害者の代わりに完了させ、最終的に被害者のTuya連携デバイスへAlexaを用いて不正アクセスできてしまいます。この脆弱性は、以前にAlexaとのリンクがあったかどうかやTuyaアプリケーションがその時点で起動しているかに関係なく影響を及ぼします。攻撃が成功した場合、カメラ、ドアベル、ドアロック、アラームなどのデバイスをリモートで操作される恐れがあります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。