Търсене
Close this search box.

Amazon коригира сериозна уязвимост в приложението Android Photos

Amazon потвърди и поправи уязвимост в приложението си Photos за Android, което е изтеглено над 50 милиона пъти от Google Play Store.

Amazon Photos е приложение за съхранение на изображения и видео, което позволява на потребителите безпроблемно да споделят своите снимки с до петима членове на семейството, предлагайки мощни функции за управление и организация.

Amazon Photos on the Play Store

Недостатъкът, открит от изследователи в Checkmarx, се крие в неправилна конфигурация на компонент на приложението, което води до това, че неговият манифест файл е външен и достъпен без удостоверяване.

Експлоатацията на този бъг би могла да позволи на злонамерено приложение, инсталирано на същото устройство, да изземе токените за достъп на Amazon, използвани за удостоверяване на API на Amazon.

Тези API може да съдържат чувствителна лична информация като пълно име, имейл и физически адрес, докато други като Amazon Drive API съдържат потребителски файлове.

Използване на недостатъка

Уязвимият компонент е „com.amazon.gallery.thor.app.activity.ThorViewActivity“, който при стартиране задейства HTTP заявка, която съдържа хедър с токена на потребителя.

 

The vulnerable activity component

Изследователите на Checkmarx откриха, че външно приложение може лесно да стартира уязвимата активност и да задейства заявката по желание, изпращайки токена към сървър, контролиран от извършителя.

Request containing the Amazon token received at a malicious endpoint

Анализаторите проучиха различни сценарии на експлоатация с придобития токен, като например извършване на действия с файлове в облачното хранилище на жертвата на Amazon Drive, изтриване на историята, така че изтритите данни да са невъзстановими и др.

„С всички тези опции, налични за хакерите, сценарий за рансъмуер беше лесно да се предвиди като вероятен вектор на атака“, уточнява Checkmarx „Злонамереният извършител просто ще трябва да прочете, криптира и пренапише файловете на клиента, като същевременно изтрие тяхната история. Същият токен може да се използва от други API на Amazon, като Prime Video, Alexa, Kindle и т.н., така че потенциалът за експлоатация може да бъде широкообхватен.

На 18 декември 2021г. Amazon информира Checkmarx, че са разрешили проблемите чрез актуализация на сигурността, внедрена в производството. Въпреки това, потребителите на приложението никога не са били информирани за потенциалната експозиция.

Изследователите се вързаха  с Amazon, за да попитатдали са забелязали някакви признаци на експлоатация на уязвимостта и дали е имало съобщения за неоторизиран достъп до API на Amazon през този период, а говорителят  предостави следния коментар:

В Amazon поверителността и сигурността са основополагащи за начина, по който проектираме и доставяме устройства, функции и преживявания. Оценяваме работата на независими изследователи по сигурността, които ни помагат да привлечем вниманието към потенциалните проблеми.

Пуснахме поправка на този проблем скоро след като ни беше обърнато внимание. Нямаме доказателства, че чувствителна клиентска информация е била разкрита в резултат на този проблем.

Снимки: Checkmarx

Източник: По материали от Интернет

Подобни публикации

27 февруари 2024

Севернокорейските хакери атакуват разработчици ...

Нови данни на Phylum показват, че набор от фалшиви пакети npm, откр...
27 февруари 2024

Защо автоматизацията е от съществено значение з...

Областта на киберсигурността се разширява, което води след себе си ...
27 февруари 2024

Киберсигурност - четки за зъби, дронове и джуджета

Звучи като виц, но всички тези истории са станали популярни през по...
27 февруари 2024

САЩ и НАТО: Руските хакери преминават към облач...

Членовете на разузнавателния алианс „Пет очи“ (FVEY) пр...
27 февруари 2024

ThyssenKrupp потвърждава кибератака

Стоманодобивният гигант ThyssenKrupp потвърждава, че миналата седми...
27 февруари 2024

SubdoMailing - развива се агресивна измамна кам...

Мащабна кампания за рекламни измами, наречена „SubdoMailing&#...
27 февруари 2024

Реакция на пробива в сигурността на AnyDesk с р...

Нарушението и реакцията на AnyDesk На 2 февруари приложението за от...
26 февруари 2024

Организациите са изправени пред големи санкции ...

Това може да се превърне в кошмар за правоприлагащите органи –...
Бъдете социални
Още по темата
24/02/2024

Парите на LockBit

Според анализа на стотици криптовалутни портфейли,...
23/02/2024

"Secure by Design" нараства...

ISC2 – водещата световна организация с...
19/02/2024

Овладейте многооблачността ...

Постигнете скорост и надеждност на интернет,...
Последно добавени
27/02/2024

Севернокорейските хакери ат...

Нови данни на Phylum показват, че...
27/02/2024

Защо автоматизацията е от с...

Областта на киберсигурността се разширява, което...
27/02/2024

Киберсигурност - четки за з...

Звучи като виц, но всички тези...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!