Търсене
Close this search box.

Amazon коригира сериозна уязвимост в приложението Android Photos

Amazon потвърди и поправи уязвимост в приложението си Photos за Android, което е изтеглено над 50 милиона пъти от Google Play Store.

Amazon Photos е приложение за съхранение на изображения и видео, което позволява на потребителите безпроблемно да споделят своите снимки с до петима членове на семейството, предлагайки мощни функции за управление и организация.

Amazon Photos on the Play Store

Недостатъкът, открит от изследователи в Checkmarx, се крие в неправилна конфигурация на компонент на приложението, което води до това, че неговият манифест файл е външен и достъпен без удостоверяване.

Експлоатацията на този бъг би могла да позволи на злонамерено приложение, инсталирано на същото устройство, да изземе токените за достъп на Amazon, използвани за удостоверяване на API на Amazon.

Тези API може да съдържат чувствителна лична информация като пълно име, имейл и физически адрес, докато други като Amazon Drive API съдържат потребителски файлове.

Използване на недостатъка

Уязвимият компонент е „com.amazon.gallery.thor.app.activity.ThorViewActivity“, който при стартиране задейства HTTP заявка, която съдържа хедър с токена на потребителя.

 

The vulnerable activity component

Изследователите на Checkmarx откриха, че външно приложение може лесно да стартира уязвимата активност и да задейства заявката по желание, изпращайки токена към сървър, контролиран от извършителя.

Request containing the Amazon token received at a malicious endpoint

Анализаторите проучиха различни сценарии на експлоатация с придобития токен, като например извършване на действия с файлове в облачното хранилище на жертвата на Amazon Drive, изтриване на историята, така че изтритите данни да са невъзстановими и др.

„С всички тези опции, налични за хакерите, сценарий за рансъмуер беше лесно да се предвиди като вероятен вектор на атака“, уточнява Checkmarx „Злонамереният извършител просто ще трябва да прочете, криптира и пренапише файловете на клиента, като същевременно изтрие тяхната история. Същият токен може да се използва от други API на Amazon, като Prime Video, Alexa, Kindle и т.н., така че потенциалът за експлоатация може да бъде широкообхватен.

На 18 декември 2021г. Amazon информира Checkmarx, че са разрешили проблемите чрез актуализация на сигурността, внедрена в производството. Въпреки това, потребителите на приложението никога не са били информирани за потенциалната експозиция.

Изследователите се вързаха  с Amazon, за да попитатдали са забелязали някакви признаци на експлоатация на уязвимостта и дали е имало съобщения за неоторизиран достъп до API на Amazon през този период, а говорителят  предостави следния коментар:

В Amazon поверителността и сигурността са основополагащи за начина, по който проектираме и доставяме устройства, функции и преживявания. Оценяваме работата на независими изследователи по сигурността, които ни помагат да привлечем вниманието към потенциалните проблеми.

Пуснахме поправка на този проблем скоро след като ни беше обърнато внимание. Нямаме доказателства, че чувствителна клиентска информация е била разкрита в резултат на този проблем.

Снимки: Checkmarx

Източник: По материали от Интернет

Подобни публикации

22 юни 2024

Пробивът в JAXA не е довел до изтичане на важна...

Японската космическа агенция твърди, че няма изтичане на класифицир...

Cyber Europe тества енергийния сектор

Седмото издание на Cyber Europe, едно от най-големите учения за киб...
22 юни 2024

ЕВРО 2024: Хакери удариха излъчването на Полша ...

Хакери нарушиха онлайн излъчването на мача на Полша с Австрия от Ев...
22 юни 2024

Panera Bread призна за изтичане на данни

Американската верига за бързо хранене Panera Bread е започнала да у...
21 юни 2024

Change Healthcare най-после с подробности за ат...

UnitedHealth за първи път потвърди какви видове медицински данни и ...
21 юни 2024

САЩ наложиха санкции на 12 ръководители на Kasp...

Службата за контрол на чуждестранните активи (OFAC) към Министерств...
21 юни 2024

Хакери на Хамас шпионират Палестина и Египет

Хакери, свързани с Хамас, са замесени в пет кампании за кибершпиона...
20 юни 2024

Сериозна уязвимост на Phoenix UEFI

Стотици модели компютри и сървъри, които използват процесори на Int...
20 юни 2024

Измама на Markopolo е насочена към потребителит...

Установен е извършител на заплаха с псевдоним markopolo, който стои...
Бъдете социални
Още по темата
16/06/2024

Kраят на една ера настъпва ...

Една от най-старите и все още...
14/06/2024

Как да повишим киберсигурно...

Технологичният пейзаж се променя бързо, което...
13/06/2024

Рискове, свързани с OAuth: ...

Вече сме твърде добре запознати с...
Последно добавени
22/06/2024

Пробивът в JAXA не е довел ...

Японската космическа агенция твърди, че няма...
22/06/2024

Cyber Europe тества енергий...

Седмото издание на Cyber Europe, едно...
22/06/2024

ЕВРО 2024: Хакери удариха и...

Хакери нарушиха онлайн излъчването на мача...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!