Amazon коригира сериозна уязвимост в приложението Android Photos

Amazon потвърди и поправи уязвимост в приложението си Photos за Android, което е изтеглено над 50 милиона пъти от Google Play Store.

Amazon Photos е приложение за съхранение на изображения и видео, което позволява на потребителите безпроблемно да споделят своите снимки с до петима членове на семейството, предлагайки мощни функции за управление и организация.

Amazon Photos on the Play Store

Недостатъкът, открит от изследователи в Checkmarx, се крие в неправилна конфигурация на компонент на приложението, което води до това, че неговият манифест файл е външен и достъпен без удостоверяване.

Експлоатацията на този бъг би могла да позволи на злонамерено приложение, инсталирано на същото устройство, да изземе токените за достъп на Amazon, използвани за удостоверяване на API на Amazon.

Тези API може да съдържат чувствителна лична информация като пълно име, имейл и физически адрес, докато други като Amazon Drive API съдържат потребителски файлове.

Използване на недостатъка

Уязвимият компонент е „com.amazon.gallery.thor.app.activity.ThorViewActivity“, който при стартиране задейства HTTP заявка, която съдържа хедър с токена на потребителя.

 

The vulnerable activity component

Изследователите на Checkmarx откриха, че външно приложение може лесно да стартира уязвимата активност и да задейства заявката по желание, изпращайки токена към сървър, контролиран от извършителя.

Request containing the Amazon token received at a malicious endpoint

Анализаторите проучиха различни сценарии на експлоатация с придобития токен, като например извършване на действия с файлове в облачното хранилище на жертвата на Amazon Drive, изтриване на историята, така че изтритите данни да са невъзстановими и др.

„С всички тези опции, налични за хакерите, сценарий за рансъмуер беше лесно да се предвиди като вероятен вектор на атака“, уточнява Checkmarx „Злонамереният извършител просто ще трябва да прочете, криптира и пренапише файловете на клиента, като същевременно изтрие тяхната история. Същият токен може да се използва от други API на Amazon, като Prime Video, Alexa, Kindle и т.н., така че потенциалът за експлоатация може да бъде широкообхватен.

На 18 декември 2021г. Amazon информира Checkmarx, че са разрешили проблемите чрез актуализация на сигурността, внедрена в производството. Въпреки това, потребителите на приложението никога не са били информирани за потенциалната експозиция.

Изследователите се вързаха  с Amazon, за да попитатдали са забелязали някакви признаци на експлоатация на уязвимостта и дали е имало съобщения за неоторизиран достъп до API на Amazon през този период, а говорителят  предостави следния коментар:

В Amazon поверителността и сигурността са основополагащи за начина, по който проектираме и доставяме устройства, функции и преживявания. Оценяваме работата на независими изследователи по сигурността, които ни помагат да привлечем вниманието към потенциалните проблеми.

Пуснахме поправка на този проблем скоро след като ни беше обърнато внимание. Нямаме доказателства, че чувствителна клиентска информация е била разкрита в резултат на този проблем.

Снимки: Checkmarx

Източник: По материали от Интернет

Подобни публикации

19 август 2022

Хакер открадна записите на 5,4 милиона потребит...

Хакерска атака удари Twitter, след като неизвестно лице успя да отк...
19 август 2022

Microsoft намалява цените за Teams Rooms

Microsoft обяви основно преразглеждане на лицензирането на Microsof...
18 август 2022

Pentesting или сканиране за уязвимости - каква ...

Pentesting и сканирането за уязвимости често се бъркат за една и съ...
16 август 2022

SOVA криптира Android устройства

Банковият троян SOVA Android продължава да се развива с нови функци...
15 август 2022

Излезе доклада на Verizon за нарушаване на данн...

Verizon е една от най-големите телекомуникационни компании в Северн...
11 август 2022

От Анфийлд до Apple

Следващото поколение кибер таланти  расте сред бившите юноши на ...
9 август 2022

ФБР предупреждава за измамни приложения за крип...

ФБР твърди, че хакерите са откраднали 42,7 милиона долара от крипто...
Бъдете социални
Още по темата
18/08/2022

Pentesting или сканиране за...

Pentesting и сканирането за уязвимости често...
11/08/2022

От Анфийлд до Apple

Следващото поколение кибер таланти  расте сред...
08/08/2022

Какво представляват SSL стр...

Премахването на криптирането, предлагано от HTTPS,...
Последно добавени
19/08/2022

Хакер открадна записите на ...

Хакерска атака удари Twitter, след като...
19/08/2022

Microsoft намалява цените з...

Microsoft обяви основно преразглеждане на лицензирането...
18/08/2022

Pentesting или сканиране за...

Pentesting и сканирането за уязвимости често...
Ключови думи