idNSA.id - Bug keamanan yang belum diperbaiki di GO SMS Pro, aplikasi perpesanan populer untuk Android dengan lebih dari 100 juta penginstalan, mengekspos pesan media.
GO SMS Pro adalah aplikasi perpesanan Android populer dengan lebih dari 100 juta penginstalan, yang telah terbukti terpengaruh oleh bug keamanan yang belum ditambal yang secara terbuka mengekspos media yang ditransfer antar pengguna.
Penyerang yang tidak diautentikasi dapat mengeksploitasi kekurangan tersebut untuk mengakses media sensitif apa pun yang dibagikan di antara pengguna aplikasi, termasuk pesan suara pribadi, foto, dan video.
Bug ini ditemukan oleh para peneliti dari Trustwave, yang berdampak pada versi aplikasi 7.91. Versi rentan diunggah ke Google Play Store pada 18 Februari 2020.
“Aplikasi GO SMS Pro adalah aplikasi perpesanan populer dengan lebih dari 100 juta unduhan dan diketahui mengekspos media yang ditransfer di antara pengguna aplikasi secara publik.” membaca posting yang diterbitkan oleh Trustwave. "Eksposur ini mencakup pesan suara pribadi, pesan video, dan foto."
Para ahli memperhatikan bahwa jika penerima tidak menginstal aplikasi GO SMS Pro, aplikasi mengirimkan ke penerima sebuah URL yang mengarah ke file media melalui SMS. Penerima kemudian dapat mengakses file media melalui browser dengan mengklik link.
Pakar SpiderLabs menemukan bahwa dimungkinkan untuk mengakses tautan tanpa otentikasi atau otorisasi apa pun, mereka juga menemukan bahwa tautan URL itu berurutan (heksadesimal) dan dapat diprediksi.
“Selain itu, saat berbagi file media, tautan akan dibuat terlepas dari penerima yang memasang aplikasinya. Akibatnya, pengguna yang berniat jahat berpotensi mengakses file media apa pun yang dikirim melalui layanan ini dan juga semua yang dikirim di masa mendatang. Ini jelas memengaruhi kerahasiaan konten media yang dikirim melalui aplikasi ini. " melanjutkan laporannya.
Penyerang dapat mengeksploitasi bug untuk membuat daftar URL dan mengakses data pengguna tanpa sepengetahuan mereka.
Para peneliti juga menulis skrip bash sederhana untuk menghasilkan daftar contoh URL dan mendemonstrasikan bagaimana penyerang dapat dengan mudah mengakses banyak data pengguna.
#! / bin / bash
(echo obase = 16; seq 1 $ ((echo ibase = 16; echo FF) | bc)) | bc> 1
untuk i di $ (cat 1); lakukan echo "http://gs.3g.cn/D/dd1a$i / w"; selesai | tr -d ""
Perusahaan keamanan siber tersebut mencoba menghubungi pengembang aplikasi beberapa kali sejak 18 Agustus 2020, tetapi tidak mendapat balasan.
Sejak saat itu GO SMS Pro menerima dua pembaruan, tetapi mereka tetap tidak memperbaiki kekurangannya.
Sumber Artikel: SecurtyAffairs
