Verizon Çağrı Filtresi API Kusurlu Müşterilerin Gelen Çağrı Geçmişi

Verizon’un çağrı filtresi özelliğindeki bir güvenlik açığı, müşterilerin güvenli olmayan bir API isteği ile başka bir Verizon kablosuz numarası için gelen çağrı günlüklerine erişmesine izin verdi.

Kusur, 22 Şubat 2025’te güvenlik araştırmacısı Evanelly tarafından keşfedildi ve ertesi ay Verizon tarafından düzeltildi. Ancak, toplam maruz kalma süresi bilinmemektedir.

Verizon’un çağrı filtresi uygulaması, kullanıcılara spam algılama ve otomatik çağrı engelleme sunan ücretsiz bir yardımcı programdır. Ücretli bir sürüm (artı), bir spam arama ve risk ölçer ekler, blokları arayan türüne göre uygulama ve bilinmeyen sayılarda arayan kimliği alma yeteneği ekler.

Uygulamanın ücretsiz sürümü, doğrudan Verizon’dan satın alınan uygun Android ve iOS cihazlarında varsayılan olarak önceden yüklenmiş ve etkinleştirilmiş ve milyonlarca cihazda kullanıldığına inanılmaktadır.

Connelly, BleepingComputer’a sadece iOS uygulamasını test ettiğini söyledi. Bununla birlikte, Android uygulamasının, uygulamaların kendilerinden ziyade özelliğin API’sinde olduğu gibi, aynı hatadan da çok etkilendiğini belirtti.

Çağrı geçmişlerini ortaya çıkarmak

Çağrı filtresi uygulamasını kullanırken Connelly, uygulamanın girişli kullanıcının gelen çağrı geçmişini almak ve uygulamada görüntülemek için bir API uç noktasına bağlanacağını keşfetti.

Connelly, “Bu uç nokta, taşıyıcı şemasını kullanarak yetkilendirme üstbilgisinde bir JWT (JSON Web jetonu) gerektiriyor ve çağrı geçmişi günlüklerini almak için bir cep telefonu numarası belirlemek için bir X-CEQ-MDN başlığı kullanıyor.”

“Bir JWT’nin üç bölümü vardır: başlık, yük ve imza. Genellikle web uygulamalarında kimlik doğrulama ve yetkilendirme için kullanılır.”

Connelly, yükün API’ya isteği yapan oturum açmış kullanıcının telefon numarası da dahil olmak üzere çeşitli veriler içerdiğini söylüyor.

Bununla birlikte, araştırmacı, oturum açılan kullanıcı için JWT yükündeki telefon numarasının, gelen arama günlükleri istenen telefon numarasına karşı doğrulanmadığını keşfetti.

Sonuç olarak, herhangi bir kullanıcı kendi geçerli JWT jetonunu kullanarak istek gönderebilir, ancak gelen çağrı geçmişlerini almak için X-CEQ-MDN başlık değerini başka bir Verizon telefonla değiştirir.

Bu kusur, kaynakları, temasları ve günlük rutinleri haritalanabileceğinden, politikacılar, gazeteciler ve kolluk kuvvetleri gibi yüksek değerli hedefler için özellikle hassastır.

Connelly, “Çağrı meta verileri zararsız görünebilir, ancak yanlış ellerde güçlü bir gözetim aracı haline gelir. Başka bir kullanıcının çağrı geçmişine sınırsız erişimle, bir saldırgan günlük rutinleri yeniden yapılandırabilir, sık temasları belirleyebilir ve kişisel ilişkileri çıkarabilir.”

Milyonlarca abone için kütle kazımasını önlemek için oran sınırlamasının mevcut olup olmadığı belirsizdir, ancak Connolly, BleepingComputer’a böyle bir mekanizma veya genellikle böyle bir güvenlik özelliği uygulayan bir API ağ geçidi hakkında hiçbir belirti görmediğini söyledi.

Kötü güvenlik uygulamaları

Araştırmacı Verizon’u açıklamasına hızlı yanıt vermesi için övüyor olsa da, telekom firmasının abonelerin çağrı verilerini ele almasında izlediği endişe uygulamalarını vurguladı.

Çağrı filtresi tarafından kullanılan savunmasız API uç noktasının, Cequint adlı, arayan kimlik hizmetlerinde uzmanlaşmış ayrı bir telekomünikasyon teknolojisi firmasına ait bir sunucuda barındırıldığı görülmektedir.

Cequint’in kendi web sitesi çevrimdışıdır ve onlar hakkında kamuya açık bilgiler sınırlıdır ve Verizon çağrı verilerinin ne kadar hassas olduğu konusunda endişeleri gündeme getirir.

BleepingComputer, kusurun ne zaman tanıtıldığını, geçmişte sömürüldüğünü ve tüm çağrı filtresi kullanıcılarını etkilediğini ancak şu anda bir yanıt almadığını sormak için Verizon ile temasa geçti.