Gespreksopname-app Call Recorder lekte opnames van gebruikers
De populaire gespreksopname-app Call Recorder bevatte een kwetsbaarheid waardoor aanvallers toegang tot de opnames van gebruikers konden krijgen. De enige vereiste was dat een aanvaller het telefoonnummer van het slachtoffer kende, zo ontdekte beveiligingsonderzoeker Anand Prakash.
De onderzoeker kwam erachter dat het eenvoudig was om de opnames van gebruikers die in een Amazon S3-bucket worden opgeslagen te benaderen. Hiervoor moest het verkeer worden aangepast door middel van bijvoorbeeld Burp Suite of Zed Attack Proxy. Alleen door het aanpassen van een request, waarbij het telefoonnummer van het slachtoffer werd toegevoegd, kon er toegang tot de opnames worden verkregen. Er was geen authenticatie vereist.
Volgens TechCrunch bevatte de S3-bucket van de app meer dan 130.000 opnames. Het ging in totaal om driehonderd gigabyte aan data. De kwetsbaarheid werd op 27 februari ontdekt, op 6 maart rolden de ontwikkelaars een nieuwe versie uit waarin het probleem is verholpen. Call Recorder behoort tot de populairste apps in de bedrijfscategorie van de Apple App Store.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
