Уязвимость в популярном приложении для записи разговоров на iPhone послужила причиной утечки тысяч записанных разговоров пользователей.
Баг был выявлен Анандом Пракашем, исследователем в области безопасности и основателем компании PingSafe AI, который обнаружил, что приложение Call Recorder позволяет любому получить доступ к записям звонков от других пользователей, просто зная их телефонный номер.
С помощью легкодоступного прокси-инструмента, как Burp Suite, Пракаш смог просматривать и изменять входящий и исходящий сетевой трафик приложения. Это означало, что он мог заменить свой номер телефона в приложении на номер другого пользователя и получить доступ к их записям на своем телефоне.
Команда издания TechCrunch проверила результаты исследования с использованием запасного телефона со специальным аккаунтом.
Приложение хранит записи звонков пользователя в облачном хранилище, расположенном на Amazon Web Services. Несмотря на то, что сервер облачного хранилища был открыт и отдавал листинг файлов, доступ к ним и загрузка невозможны. Уязвимость была устранена на момент публикации статьи.
На момент написания статьи в облачном хранилище находилось более 130 000 аудиозаписей объемом около 300 гигабайт. Статистика использования приложения сообщает, что на сегодняшний день оно было загружено более 1 млн. раз.
TechCrunch связался с разработчиком приложения и следил за этой историей до тех пор, пока уязвимость не была исправлена. Новая версия приложения была представлена в магазине приложений Apple в субботу. В примечаниях к выпуску говорится, что обновление приложения было «исправить уязвимость безопасности».
Несмотря на то, что разработчик приложения Анур Наир дал краткий ответ на первоначальное письмо редакции и признал наличие уязвимости безопасности, никаких дополнительных комментариев по проблеме TechCrunch получить не удалось.
Перевод сделан со статьи: https://techcrunch.com
