Уязвимость в Apple Music для Android расскрывает данные пользователя

Уязвимость в Apple Music для Android расскрывает данные пользователя

Уязвимость в Apple Music для Android расскрывает данные пользователя

Выпущенное на этой неделе обновление приложения для Android Apple Music, устраняет уязвимость проверки сертификата, которая может быть использована для перехвата конфиденциальных данных.

Согласно Google Play, Apple Music для Android установили от 10 до 50 миллионов раз. В новой версии 2.0 пользователи получат новый дизайн и функции. В дополнение к этому, обновление исправляет брешь в безопасности, которая может позволить злоумышленнику получить информацию о пользователе (атака man-in-the-middle).

Об уязвимости Apple сообщил Дэвид Кумбер (David Coomber) из Info-Sec. Она получила идентификатор CVE-2017-2387 и затрагивает Apple Music версии 1.2.1 и более ранние.

В опубликованном на этой неделе сообщении, эксперт утверждает, что в январе просил Apple обновить статус относительно исправления этой уязвимости. На это компания ответила, что все еще работает над устранением.

Проблема, по мнению исследователя, заключалась в том, что приложение не проверяло SSL-сертификаты, полученные при подключении к серверам.

«Злоумышленник просто может подставить поддельный сертификат, которое приложение молча примет. Благодаря этой схеме хакер может получить конфиденциальную информацию пользователя» - пояснил Кумбер в своем сообщении.

Подпишитесь на новости

Данные замглавы разведки Германии годами находились в открытом доступе

Работа в разведке не спасает от утечек из обычных интернет-сервисов. Личный телефон, электронная почта и домашний адрес заместителя главы Федеральной разведывательной службы Германии (BND) Дага Бэра оказались в открытом доступе (причём, по данным журналистов, несколько лет назад).

Об этом говорится в совместном расследовании Süddeutsche Zeitung и WDR. Предположительно, источником стал взлом американского онлайн-аукциона LiveAuctioneers в 2020 году. Тогда злоумышленники получили данные 3,4 млн клиентов.

Самая неприятная деталь: Бэр продолжал пользоваться засветившимся номером. Журналисты позвонили ему 9 сентября, и замглава разведки ответил.

По словам замглавы BND, номер использовался только для личных разговоров и ограниченного круга людей, которые ещё не знали новый. Позже Бэр признал это ошибкой и сообщил, что прекратил пользоваться старым номером.

Случай оказался не единичным. SZ и WDR также обнаружили в открытом доступе адрес и электронную почту генерал-майора бундесвера из Баварии, а ещё — адрес и телефон главы нидерландской военной разведки MIVD Петера Ресинка.

По описанию расследования, речь идёт о персональных данных из сторонних сервисов. О взломе систем самих разведслужб не сообщается.

RSS: Новости на портале Anti-Malware.ru