Perakende devi Amazon, Mayıs ayında Android için Ring uygulamasında, bir kullanıcının cihazına yüklenen hileli bir uygulamanın hassas bilgilere ve kamera kayıtlarına erişmesine olanak sağlayabilecek yüksek önemde bir güvenlik sorununu düzeltti.
Android için Ring uygulaması 10 milyondan fazla indirildi ve kullanıcıların görüntülü kapı zilleri, güvenlik kameraları ve alarm sistemleri gibi akıllı ev cihazlarından video akışlarını izlemelerini sağlıyor. Amazon, kapı zili üreticisini 2018’de yaklaşık 1 milyar dolara satın aldı.
Uygulama güvenlik firması Checkmarx açıkladı kurbanları kötü amaçlı bir uygulama yüklemeye kandırmak için bir saldırı zincirinin parçası olarak silahlandırılabileceğini söylediği bir siteler arası komut dosyası (XSS) hatası tespit etti.
Uygulama daha sonra kullanıcının Yetkilendirme Simgesini ele geçirmek için kullanılabilir; bu, daha sonra, bu bilgiyi aygıtın donanım kimliğinin yanı sıra belirteçte kodlanmış olan son nokta “halkasına göndererek oturum tanımlama bilgisini çıkarmak için kullanılabilir.[.]com/mobile/yetkilendir.”
Bu tanımlama bilgisi ile donanmış olan saldırgan, şifresini bilmek zorunda kalmadan kurbanın hesabında oturum açabilir ve hesapla ilgili tam ad, e-posta adresi, telefon numarası ve coğrafi konum bilgilerinin yanı sıra cihaz kayıtları da dahil olmak üzere tüm kişisel verilere erişebilir.
Bu, aşağıdaki iki uç noktayı sorgulayarak elde edilir –
Checkmarx, sorunu 1 Mayıs 2022’de Amazon’a bildirdiğini ve ardından 27 Mayıs’ta 3.51.0 sürümünde bir düzeltmenin kullanıma sunulduğunu söyledi. Amazon, istismarı “son derece zor” olarak nitelendiriyor ve hiçbir müşteri bilgisinin açığa çıkmadığını vurguluyor.
Geliştirme, şirketin bir kullanıcının erişim belirteçlerini çalmak için istismar edilmiş olabilecek Android için Fotoğraflar uygulamasını etkileyen ciddi bir zayıflığı gidermek için harekete geçmesinden bir aydan fazla bir süre sonra geldi.