사용자가 실시간 지도에서 친구와 가족의 위치를 볼 수 있도록 하는 Snap의 소셜 앱 Zenly에는 추적 중인 사람들을 위험에 빠뜨릴 수 있는 한 쌍의 취약점이 있습니다.
Checkmarx 보안 연구 팀에 따르면 버그는 사용자 데이터 노출 취약점과 계정 탈취 취약점입니다. 둘 다 패치되었으며 사용자는 손상을 방지하기 위해 앱을 최신 버전으로 업그레이드해야 합니다.
전화번호 공개
첫 번째 버그는 사용자의 전화번호가 노출되는 중간 심각도 문제입니다.
연구원들은 목요일 게시물 에서 "사용자에게 친구 요청을 제출할 때 Zenly는 친구 요청 수락 여부에 관계없이 사용자의 전화 번호에 대한 액세스를 허용할 것"이라고 설명 했습니다 . "이 정보를 얻으려면 악의적인 행위자가 사용자 이름만 알면 됩니다."
Zenly가 "사용자 친구의 전체 목록"을 공개하기 때문에 사용자 이름을 얻는 것이 생각보다 쉽습니다.
실제로 공격이 어떻게 진행될 수 있는지에 대해 Checkmarx는 CEO를 목표로 하는 사이버 공격자에 대한 가설을 제시했습니다.
킬 체인의 단계에는 다음이 포함될 것이라고 연구원들은 말했습니다.
- 웹에서 회사 직원을 검색하고 소셜 미디어 계정(예: Twitter에서)을 얻으려고 시도합니다.
- 커뮤니케이션 또는 마케팅 분야에서 일하는 직원은 일반적으로 더 많이 노출되고 더 쉬운 대상을 나타냅니다.
- 그들의 핸들이 Zenly에서 유효한지 확인하십시오.
- Zenly를 통해 친구 목록에 액세스하고 CEO의 권한을 얻으세요.
- 취약점을 악용하여 사용자 이름을 통해 CEO의 전화 번호를 검색합니다.
- 대표이사 전화번호를 이용한 스피어피싱 공격
- 또한 공격자는 이러한 단계를 반복하여 다른 직원의 전화번호를 획득하여 보다 신뢰할 수 있는 공격을 준비할 수도 있습니다.
익스플로잇의 해부
이 취약점은 Checkmarx에 따르면 알려진 사용자 이름을 검색하여 시작하는 "사용자 이름으로 추가" 흐름을 사용합니다.
그런 다음 "네트워크 요청을 가로채고 디코딩할 수 있는 환경...네트워크 활동에 대한 가시성을 확보"를 사용하여 사용자 이름 검색 중에 발생하는 요청을 볼 수 있습니다.
분석에 따르면 "/UserPublicFriends 엔드포인트에서 실행된 요청의 응답을 관찰하면 응용 프로그램의 사용자 인터페이스에 표시되지 않지만 친구 목록을 볼 수 있습니다."라고 합니다. “이 목록에는 사용자의 모든 친구가 포함되어 있으며 그 중 한 명은 Bogus_CEO(시연 목적으로 Zenly의 가짜 CEO)입니다. 응답에는 사용자 이름도 포함되어 있으므로 이 프로세스를 반복하고 대신 친구 목록을 얻는 데 사용할 수 있습니다.”
대상 사용자 이름이 식별되면 동일한 인터셉터를 사용하여 "사용자 이름으로 추가" 보기라는 보기를 통해 연결된 전화 번호를 얻은 다음 "친구로 추가" 버튼을 탭할 수 있습니다.
"이 친구 초대는 /FriendRequestCreate 엔드포인트에 대한 요청을 트리거하며, 응답에는 우리 사용자와 대상 사용자에 대한 특정 정보가 포함되어 있습니다."라고 덧붙였습니다. "대상 사용자가 친구 요청을 수락한 적이 없더라도 응답에는 전화 번호와 대상 사용자의 전화 번호가 모두 포함되어 있습니다."
계정 탈취 문제
두 번째 취약점도 중간 심각도로 평가됩니다. 공격이 성공하면 공격자는 합법적인 사용자처럼 사용자의 위치, 알림, 대화 및 친구 정보에 액세스할 수 있습니다.
Checkmarx에 따르면 사용자 인증 흐름에 버그가 존재합니다. 해당 인증은 세션을 확인하기 위해 확인 코드가 포함된 SMS 메시지를 사용합니다.
SMS 메시지가 사용자에게 전송된 후 앱은 세션 토큰과 SMS에서 수신한 확인 코드를 모두 사용하여 /SessionVerify 엔드포인트를 호출합니다.
공격자는 세션 토큰을 훔치기 위해 /SessionCreate 엔드포인트를 남용할 수 있다고 연구원들은 설명했습니다. 이제 공격자가 확인 코드를 알지 못하더라도 합법적인 사용자의 계정에 대해 유효한 세션이 있습니다."
버그가 중간 등급인 이유는 익스플로잇을 수행하기 어렵기 때문입니다. 공격자는 피해자의 휴대폰 번호를 알아야 합니다(첫 번째 버그를 통해 가능). 또한 피해자가 로그인, 가입, 새 장치 등록 또는 다른 이유로 인증 절차를 거치게 될 때를 알아야 합니다.
