Iako je bag navodno ispravljen, slike i poruke i dalje cure iz popularne Android aplikacije

Mobilni telefoni, 02.12.2020, 10:00 AM

Iako je bag navodno ispravljen, slike i poruke i dalje cure iz popularne Android aplikacije

Od kada su pre desetak dana otkriveni detalji o bagu u popularnoj Android aplikaciji GO SMS Pro, objavljene su dve nove verzije aplikacije u Google Play prodavnici, ali nijedna ne rešava u potpunosti problem sa bagom, zbog čega je privatnost 100 miliona korisnika aplikacije ugrožena.

Bag su 18. avgusta otkrili istraživači Trustwave SpiderLabsa u verziji 7.91 aplikacije koja je objavljena 18. februara ove godine. Istraživači su rekli da su oni od 18. avgusta više puta pokušali da kontaktiraju proizvođača aplikacije, ali da nisu dobili odgovor.

Bag ugrožava glasovne poruke, fotografije i video snimke koje šalju korisnici tako da haker ili neko ko je samo radoznao može kompromitovati bilo šta od sadržaja koji se deli između korisnika aplikacije. Problem je u načinu na koji se sadržaj prikazuje kada primaoci na svojim uređajima nemaju instaliranu aplikaciju GO SMS Pro, što dovodi do potencijalnog otkrivanja sadržaja koji je poslat.

Kada korisnik pošalje multimedijalnu poruku, onaj kome je poslata je može primiti čak i ako sam nema instaliranu aplikaciju. U tom slučaju, fajl se primaocu šalje kao URL putem SMS-a, tako da primalac može da klikne na link za prikaz fajla u prozoru pregledača. Problem je u tome što nije potrebna potvrda identiteta za pregled sadržaja, tako da svako ko ima link (a linkovi se mogu pogoditi) može da klikne na sadržaj.

Aplikacija je od kada je Trustwave upozorio na bag, tri puta ažurirana - jednom 29. septembra, i još dva puta prošlog meseca, 19. i 23. novembra. Trustwave je sada testirao obe verzije, tačnije v7.93 i v7.94 i otkrio da je bag i dalje tu, da su poruke i dalje dostupne, što “uključuje prilično osetljive podatke poput vozačkih dozvola, brojeva zdravstvenog osiguranja, pravnih dokumenata i, naravno, slika „romantičnije“ prirode“.

Na nesreću, sajber kriminalci su brzo iskoristili situaciju, jer je „na sajtovima poput Pastebina i Githuba objavljeno više alata i skripti da bi se to iskoristilo“, navodi Trustwave. „Nekoliko popularnih alata se ažurira svakodnevno i sada su već dostupne njihove treće ili četvrte revizije. Takođe smo videli hakerske forume kako direktno dele slike preuzete sa GO SMS servera.“

Što se tiče novih verzija, „čini se da [programer] pokušava da reši problem, ali potpuno rešenje još uvek nije dostupno u aplikaciji“, objasnili su istraživači. „Za v7.93 izgleda da su onemogućili slanje medijskih fajlova u potpunosti. Nismo uspeli ni da dodamo fajlove MMS poruci. U verziji v7.94 nije sprečena mogućnost otpremanja fajlova u aplikaciju, ali čini se da oni ne idu nigde... primalac ne dobija stvarni tekst ni sa fajlom ni bez njega. Izgleda da su u procesu pokušaja da reše osnovni problem.“

Trustwave je rekao da još uvek nije kontaktirao GO SMS Pro tim.

Iz Trustwavea kažu da im je cilj da spreče korisnike da rizikuju slanjem fotografija, video snimaka i glasovnih poruka. „S obzirom na to da su stari podaci i dalje u opasnosti da procure, pored nedostatka komunikacije ili potpunih ispravki (za bag), takođe mislimo da bi bila dobra ideja da Google ponovo povuče ovu aplikaciju.“


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Ako imate stariji Android uređaj, možda više nećete moći da se prijavite na Google nalog

Ako imate stariji Android uređaj, možda više nećete moći da se prijavite na Google nalog

Ako još uvek imate uređaj sa Androidom 2.3.7 (Gingerbread) ili starijim, Google vam od 27. septembra neće dozvoliti da se prijavite na svoj Google... Dalje

Google Play Protect ponovo nije prošao antivirusne testove

Google Play Protect ponovo nije prošao antivirusne testove

Google Play Protect, sistem za odbranu od malvera ugrađen u Android, nije prošao testove laboratorije za testiranje antivirusnih programa AV-TEST je... Dalje

Google objavio krajnji rok za programere aplikacija na Google Play: evo kada ćemo videti koje podatke prikupljaju aplikacije i kako ih koriste

Google objavio krajnji rok za programere aplikacija na Google Play: evo kada ćemo videti koje podatke prikupljaju aplikacije i kako ih koriste

Google je objavio više detalja u vezi sa predstojećim „odeljkom o bezbednosti“ Google Play prodavnice koji će korisnicima pružati inf... Dalje

Poznati malver Joker ponovo u aplikacijama na Google Play

Poznati malver Joker ponovo u aplikacijama na Google Play

U Google Play prodavnici ponovo su otkrivene aplikacije koje skrivaju malver Joker. U utorak su istraživači iz Zscalerovog ThreatLabza objavili da s... Dalje

Malver Toddler prazni bankovne račune korisnika Android telefona

Malver Toddler prazni bankovne račune korisnika Android telefona

Novi malver za Android širi se po Evropi. Malver nazvan Toddler prvi put je primećen u januaru ove godine. Trojanac kojeg su otkrili istraživači i... Dalje