Amazon, Android için Amazon Ring uygulamasında, bilgisayar korsanlarının müşterilerin kayıtlı kamera görüntülerini indirmesine izin vermiş olabilecek yüksek önemdeki bir güvenlik açığını yamaladı.
Kusur, uygulama güvenlik testi şirketi Checkmarx için çalışan güvenlik araştırmacıları tarafından 1 Mayıs 2022’de tespit edildi ve Amazon’a bildirildi. Kusur, keşfedildikten sonra Amazon tarafından hızla onarıldı.
Ring Android uygulamasının 10 milyondan fazla indirildiği ve dünyanın her yerindeki kişiler tarafından kullanıldığı göz önüne alındığında, bir müşterinin kayıtlı kamera görüntülerini görüntüleme yeteneği, gasptan veri hırsızlığına kadar çok çeşitli hain faaliyetlere izin vermiş olabilir.
Android uygulaması Ring kullanımı
Checkmarx, Ring Android uygulamasını inceledikten sonra, Android cihazına yüklenen diğer herhangi bir uygulama tarafından başlatılabilecek bir ‘etkinlik’ ortaya çıkardığını keşfetti.
Bir Android “aktivitesi”, belirli bir eylemi gerçekleştirmek için kullanıcıların etkileşim kurması için bir ekran çalıştıran bir yazılım öğesidir. Bir Android uygulaması geliştirirken bu etkinliği bildirim dosyasına dahil ederek, onu diğer yüklü uygulamalara görünür kılmak mümkündür.
Checkmarx, Ring Android uygulamasının bildiriminde ‘com.ringapp/com.ring.nh.deeplink.DeepLinkActivity’ etkinliğinin açığa çıktığını keşfetti ve bu da diğer herhangi bir yükleme uygulamasının onu başlatmasını mümkün kıldı.
Amacın hedef URI’si “/daha iyi komşular/” dizesine sahip olduğu sürece, bu etkinlik halka açılmadan önce BleepingComputer ile sağlanan bir Checkmarx raporuna göre herhangi bir sunucudan web içeriğini kabul eder, yükler ve yürütür.
Bu, aktiviteyi başlatabilecekleri ve aktiviteye katılmak için saldırganın kontrolü altındaki bir web sunucusuna yönlendirebilecekleri anlamına geliyordu. Ancak, etkinlikle yalnızca ring.com veya a2z.com etki alanlarındaki web siteleri etkileşime girebilir.
Checkmarx araştırmacıları, https://cyberchef.schlarpc.people.a2z.com URL’sinde bir XSS güvenlik açığı keşfederek, açığa çıkan etkinlikle etkileşime geçmeyi ve kısıtlamayı aşmayı başardılar.
Araştırmacılar artık bu XSS güvenlik açığını kullanarak Ring API’lerine erişebilir ve bir kimlik doğrulama belirteci ve cihaz kimliği kullanarak müşterinin hesabı için bir oturum açma tanımlama bilgisi çalabilir.
Bir kullanıcı programı indirmeye yönlendirildikten sonra, saldırıyı gerçekleştirecek ve saldırganlara Ring müşterilerinin kimlik doğrulama çerezlerini iletecektir.
Ama bir tehdit aktörü olarak, bu zayıflıktan yararlanarak birdenbire ele geçireceğiniz muazzam sayıdaki filmle ne yapabilirsiniz?
Checkmarx, bir görüntü ve video analiz aracı olan Amazon Rekognition hizmetini kullanarak ilgi çekici olanları bulmak için filmleri sıralayabileceklerini keşfetti.
Hizmet, ünlülerin videolarını, belirli terimleri olan belgeleri ve hatta bilgisayar ekranına yapıştırılmış bir not kağıdına aceleyle yazılmış bir parolayı bulmak için makine öğrenimini kullanabilir.
Tehdit aktörü daha sonra bu bilgiyi alabilir ve onu gasp, ağ sızması veya sadece düz röntgencilik için kullanabilir.
İyi haber şu ki Amazon, Checkmarx’ın sorun raporunu aldıktan hemen sonra bir çare yayınladı.
Checkmarx raporunda, “Amazon ekibiyle bu kadar verimli bir şekilde bağlantı kurmak bir zevkti. Sahiplik aldılar ve açıklama ve iyileştirme süreci boyunca profesyoneldiler.