باگ Waze و امکان دسترسی به هویت کاربران

آسیبپذیری جدیدی در نرمافزار Waze شناسایی شده است که به هکرها امکان شناسایی هویت کاربران را می دهد. بر اساس گزارش منتشر شده در وب سایت Autoevolution.com، این آسیبپذیری توسط یک مهندس امنیت سایبری به نام “Gasper” شناسایی شده است. وی در هنگام استفاده از رابط کاربری این برنامه (API) متوجه شده میتواند به آن درخواستی را ارسال کند که علاوه بر نمایش مختصات فعلی خود، مختصات سایر رانندگان نزدیک به او را هم اعلام کند.
دادههایی که در اختیار وی قرار گرفته اند می توانند شناسه آیکن های خاصی که هر کدام از آنها یک راننده را نشان می دهد بر روی نقشه مشخص کنند. لازم به ذکر است که با گذشت زمان، این شناسهها تغییری نمیکنند. در نتیجه هر شخصی که از این آسیب پذیری سوءاستفاده کند میتواند یک کاربر خاص را در کل مسیر حرکتش تحت تعقیب قرار دهد.
Gasper میگوید: «من تصمیم گرفتم یک راننده خاص را دنبال کنم. او پس از طی مسیری کوتاه، در مکانی متفاوت توقف کرد. من ویرایشگر کد را کپی کرده و یک افزونه کروم ساختم که از chrome.devtools برای دریافت پاسخهای JSON از این API استفاده میکند. در نهایت توانستم مسیر حرکت کاربران در مناطق مختلف شهری یا یک شهر خاص را دنبال کنم».
او در تحقیقات بعدی خود متوجه شد مهاجمان میتوانند حتی نام واقعی کاربرانی که با این برنامه کاربردی در تعامل بوده اند را نیز استخراج کنند. Gasper در این خصوص گفته که: «من متوجه شدم اگر کاربری وجود یک مانع را در جاده اعلام کند یا به گشت پلیس گزارشی داده باشد، API نام کاربری و شناسه وی را به همه کاربرانی که از آن مسیر عبور کنند، انتقال میدهد. در حالی که این برنامه مجوز نمایش این داده ها را ندارد. پاسخی که API به درخواست دریافت اطلاعات کاربران توسط سایرین می دهد شامل نام کاربری، شناسه، محل وقوع رویداد و حتی زمان اعلام آن است».
شرکت گوگل پس از اطلاع از این آسیب پذیری، آن را برطرف کرده است. یکی از کارشناسان امنیتی در این رابطه می گوید: «در هر سازمانی، آسیبپذیری های مبتنی بر API به وفور مشاهده میشود و این آسیبپذیری ها فرصت سوءاستفاده آسان را برای مهاجمان فراهم میکنند. به همین دلیل، سازمان ها همواره باید بر APIهای مورد استفاده خودشان نظارت کامل داشته باشند».
سازمانها همواره باید برای این سؤال های ساده اما مهم، پاسخ مناسبی داشته باشند: ما چه تعداد API داریم و مالک آنها کیست؟ آیا این APIها کنترل دسترسی و سازوکارهای احراز هویت لازم را دارند؟ و در نهایت اینکه این APIها چه نوع داده هایی را منتقل میکنند؟
منبع: infosecurity-magazine
مطالب زیر را حتما بخوانید:

لیستی از ابزارهایی است که می تواند برای محققان برای کارهای مختلفی که باید انجام دهند مفید باشد. لطفا در صورت داشتن پیشنهاد برای منابعی که باید به این پست...

وزارت دفاع، ارتش و دانشگاه هاوارد در ایالات متحده در یک مرکز عالی، که اخیراً رونمایی شده است، با هدف پیشبرد تحقیقات هوش مصنوعی و یادگیری ماشینی، فناوریها و برنامههای...

باگ بانتی چیست؟ باگ بانتی ( Bug Bounty ) یا مسابقات کشف باگ و آسیب پذیری، برنامههایی هستنتد که طی آنها یک وبسایت یا اپلیکیشن و حتی سخت افزار، سازمان...

یک هکر اخلاقی (Ethical Hacker) با نام «کوزمین یورداچه» که وظیفه پیدا کردن نقاط آسیبپذیر در سیستمهای مختلف و برطرف کردن آنها را داشته و با شناسه “@inhibitor181” در HackerOne...

لینکهای مخرب و بکش بالا ها با عنوان فیلترشکن بهتازگی در شبکههای اجتماعی تلگرام و اینیستاگرام منتشر میشود که آلوده به ویروس بوده و کلیک روی آنها باعث تغییرات مخرب...

مدرک شرح کار ( Statement Of Work ) که به اختصار SOW نامگذاری می شود ، واژه SOW یک واژه کلی و عام است و در صنایع مختلف به شکل...

محققان امنیت سایبری شرکت کسپرسکی (Kaspersky) متوجه اجرای گروهی از حملات فیشینگ شده اند که از یک وب سایت مخرب خاص که به عنوان نسخه عربی نتفلیکس (شرکت آمریکایی که...

بخشی از عملیات طرح ریزی پروژه است که شامل تعیین و مستند سازی لیستی از اهداف خاص و ثابت پروژه ، deliverables (موارد قابل تحویل از جمله اخبار ، اسناد...

آزمون نفوذپذیری یا آزمون نفوذ ، پن تست (به انگلیسی: Penetration test) فرآیند ارزیابی معیارهای امنیتی است . معیار های امنیتی از لحاظ ضعف طراحی ، مشکلات فنی و آسیب پذیری ها...

شرکت آمریکایی سیتریکس که در حوزه ارایه خدمات رایانه ای و شبکه فعالیت می کند، از مشتریان خود درخواست کرده هر چه سریعتر نسبت به دانلود و نصب بهروزرسانی های...

یکی از چالش برانگیزترین مراحل هنگام اجرای برنامهbug bounty ، اغلب تعیین میزان پاداش است. دلیل این امر این است که عوامل بسیاری در این فرآیند دخیل هستند. هدف اصلی...

حمله گسترده و پیچیده سایبری به شرکت سولارویندز (SolarWinds) که روسیه عامل اصلی اجرای آن شناخته می شود، مؤسسههای محلی، ایالتی و فدرال آمریکا و بعضی از شرکتهای بزرگ این...

- جهت دانلود سریع از VPN استفاده نکنید..
- تمامی فایل ها قبل از درج بررسی شده اند.
- لینک دانلود از دو سرور مختلف است.
- امکان قطع دانلود فایل ها وجود دارد.
- جهت دانلود از IDM استفاده کنید..
- در صورت نیاز با ما تماس بگیرید.
اندازه فایل
نوع فایل
قوانین ارسال دیدگاه در سایت