​​Android-мессенджер со 100 млн загрузок раскрывает пересылаемые медиафайлы

Исследователи компании Trustwave обнаружили уязвимость в приложении GO SMS Pro, установленном более 100 000 000 раз. Из-за бага мультимедийные файлы (голосовые сообщения, видео и изображения), которыми обмениваются пользователи, оказались доступны любому желающему.

Медиафайлы, отправляемые получателям, у которых на смартфоне не установлен мессенджер GO SMS Pro, доступны на серверах приложения по укороченной ссылке, переадресовывающей получателя на сервер в сети доставки контента (CDN), где хранятся файлы пользователей. Укороченные ссылки генерируются последовательно (с помощью шестнадцатеричного счетчика) при каждой отправке файла, благодаря чему любой желающий может просматривать чужие файлы даже без ссылки на них.

Как пояснили эксперты, злоумышленникам не составит труда написать простой скрипт для быстрого составления списка адресов, связанных с фотографиями и видеозаписями, отправляемыми через приложение GO SMS Pro.

«Вставив сгенерированные URL в расширения для работы с множеством вкладок в Chrome или Firefox, можно легко получить доступ к личным (и потенциально чувствительным) медиафайлам, отправленным пользователями приложения», - пояснили исследователи.

#новость