Уязвимости в UberCENTRAL раскрывают данные пользователей Uber

Уязвимости в UberCENTRAL раскрывают данные пользователей Uber

Уязвимости в UberCENTRAL раскрывают данные пользователей Uber

В недавно запущенной службе Uber UberCENTRAL были выявлены несколько уязвимостей. Компания в конечном итоге исправила бреши и выплатила вознаграждение нашедшему их эксперту.

Анонсированная в конце июля UberCENTRAL предоставляет панель мониторинга, которую компании могут использовать для оплаты поездок Uber от имени своих клиентов. Администраторы UberCENTRAL могут добавлять операторов (т.е. сотрудников, которые заказывают поездки для клиентов) на основе их адресов электронной почты.

Поскольку у Uber есть программа, предусматривающая выплату вознаграждений за найденные уязвимости, исследователь Кевин Рох (Kevin Roh) решил проверить наличие таковых в UberCENTRAL. Uber особенно заинтересованы в обнаружении уязвимостей, которые могут быть использованы для получения уникальных идентификаторов пользователей (UUIDs) с помощью телефонных номеров или адресов электронной почты. Это может открыть возможность для IDOR-атаки.

Как раз один из таких недостатков и был обнаружен экспертом. Данная уязвимость позволяла злоумышленникам получить UUID пользователей путем отправки запросов с возможными адресами электронной почты. Если адрес электронной почты связан с учетной записью, ответ сервера будет включать в себя UUID пользователя. Если адрес электронной почты не является действительным, ответ будет содержать ошибку. 

Вторая уязвимость, найденная Рохом практически идентична первой. Но наибольший интерес представляет третья брешь – она позволяет получить не только идентификаторы пользователей, но и полные имена, номера телефонов и адреса электронной почты.

По слухам Uber вознаградили Роха сотнями долларов за каждую найденную брешь в безопасности, хотя точные цифры все равно не раскрываются.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Польский регулятор обвинил Apple в сборе данных при запрете на отслеживание

Польский антимонопольный регулятор обвинил Apple в том, что корпорация якобы вводит пользователей в заблуждение относительно уровня конфиденциальности, который предоставляет функция App Tracking Transparency (ATT). По мнению ведомства, Apple может использовать пользовательские данные даже тогда, когда человек запретил отслеживание.

Как пишет Reuters, Apple с обвинениями не согласна и заявляет, что давление регуляторов может вынудить её вовсе отключить эту функцию для пользователей в ЕС.

Это уже не первый конфликт компании с европейскими правилами. ЕС требует, чтобы Apple обеспечивала равные условия для сторонних разработчиков: если у Apple есть доступ к определённым данным, то и конкуренты должны иметь возможность получать аналогичную информацию.

Apple, в свою очередь, утверждает, что доступ к данным у неё организован так, чтобы приватность пользователей соблюдалась максимально, и она не может гарантировать, что сторонние компании будут действовать так же.

Последний пример — ситуация с Apple Watch. Часы могли получать историю Wi-Fi подключений с привязанного iPhone, но другие производители — нет. Вместо того чтобы раскрыть эти данные, Apple отключила функцию в моделях для ЕС.

Претензии к App Tracking Transparency

ATT требует, чтобы приложения спрашивали разрешение на отслеживание пользователя. Если человек говорит «нет», разработчики не могут использовать рекламный идентификатор устройства.

Польский регулятор полагает, что Apple якобы продолжает собирать данные для показа таргетированной рекламы в своих сервисах, например в App Store, независимо от согласия пользователя.

Глава UOKiK Томаш Хростный заявил, что политика ATT «могла ввести пользователей в заблуждение относительно уровня защиты персональных данных и одновременно дала Apple конкурентное преимущество».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru