Η GO SMS Pro, μια δημοφιλής Android chat εφαρμογή, με 100 εκατομμύρια λήψεις, εκθέτει ιδιωτικά μηνύματα (κυρίως αρχεία πολυμέσων) που στέλνουν μεταξύ τους οι χρήστες.
Σύμφωνα με τους ερευνητές ασφαλείας της Trustwave, η εφαρμογή GO SMS Pro έχει μια ευπάθεια, η οποία μπορεί να χρησιμοποιηθεί από τρίτους για την απόκτηση πρόσβασης σε ιδιωτικά φωνητικά μηνύματα, βίντεο και φωτογραφίες που μοιράζονται οι χρήστες.
Πώς εκτίθενται τα ιδιωτικά μηνύματα;
Τα ιδιωτικά αρχεία media που αποστέλλονται από χρήστες σε επαφές που δεν έχουν εγκαταστήσει την εφαρμογή στις συσκευές τους, μπορούν να παραβιαστούν μέσω των servers της εφαρμογής. Αυτό γίνεται με τη χρήση μιας συντομευμένης διεύθυνσης URL που ανακατευθύνει σε έναν content delivery network (CDN) server, που χρησιμοποιεί η GO SMS Pro για την αποθήκευση όλων των αρχείων που έχουν σταλεί.
Αυτές οι συντομευμένες διευθύνσεις URL δημιουργούνται διαδοχικά (με hexadecimal counter) κάθε φορά που ένα αρχείο κοινοποιείται μεταξύ των χρηστών και αποθηκεύεται στον CDN server.
 που στέλνουν μεταξύ τους οι χρήστες){kind=link}
Αυτό επιτρέπει σε οποιονδήποτε να δει τα ιδιωτικά μηνύματα (αρχεία) που στέλνουν οι χρήστες της εφαρμογής μεταξύ τους.
Οι ερευνητές της Trustwave δήλωσαν ότι είναι πολύ εύκολο να δημιουργηθεί ένα απλό script που θα δημιουργούσε γρήγορα μια λίστα με διευθύνσεις που συνδέονται με φωτογραφίες και βίντεο που έχουν σταλεί μέσω της GO SMS Pro.
“Παίρνοντας τα δημιουργημένα URL και επικολλώντας τα στην multi-tab επέκταση στον Chrome ή στον Firefox, μπορείς εύκολα να αποκτήσεις πρόσβαση σε ιδιωτικά (και ενδεχομένως ευαίσθητα) αρχεία πολυμέσων που αποστέλλονται από χρήστες αυτής της εφαρμογής“, εξήγησαν.
Η Trustwave αποφάσισε να αποκαλύψει δημόσια την ευπάθεια που καθιστά ευάλωτη την Android chat εφαρμογή, καθώς προσπάθησε να επικοινωνήσει με τον προγραμματιστή της εφαρμογής και δεν βρήκε ανταπόκριση. Οι ερευνητές ήρθαν σε επικοινωνία με τον προγραμματιστή στις 18 Αυγούστου, και αφού δεν έλαβαν απάντηση σε άλλα τρία emails που στάλθηκαν τον Σεπτέμβριο, τον Οκτώβριο και νωρίτερα αυτήν την εβδομάδα, αποφάσισαν να αποκαλύψουν την ευπάθεια.
Πηγή: Bleeping Computer