قامت أمازون، في ديسمبر 2021، بتصحيح ثغرة أمنية شديدة الخطورة تؤثر على تطبيق Photos الخاص بها لنظام Android والتي كان من الممكن استغلالها لسرقة رموز وصول المستخدم.
قال الباحثان في Checkmarx João Morais و Pedro Umbelino :
"يتم استخدام رمز الوصول إلى Amazon للمصادقة على المستخدم عبر العديد من واجهات برمجة تطبيقات Amazon، وبعضها يحتوي على بيانات شخصية مثل الاسم الكامل والبريد الإلكتروني والعنوان". "يسمح الآخرون، مثل Amazon Drive API، للمهاجم بالوصول الكامل إلى ملفات المستخدم."
أبلغت شركة اختبار أمان التطبيقات الإسرائيلية عن المشكلة إلى أمازون في 7 نوفمبر 2021، وبعد ذلك طرح عملاق التكنولوجيا إصلاحًا في 18 ديسمبر 2021.
التسريب هو نتيجة لتهيئة خاطئة في أحد مكونات التطبيق المسمى "com.amazon.gallery.thor.app.activity.ThorViewActivity" الذي تم تحديده في ملف AndroidManifest.xml والذي يبدأ عند تشغيله طلب HTTP مع رمز الوصول.
باختصار، هذا يعني أن التطبيق الخارجي يمكنه إرسال رسالة لتسهيل الاتصال بين التطبيقات لبدء النشاط الضعيف المعني وإعادة توجيه طلب HTTP إلى خادم يتحكم فيه المهاجم واستخراج رمز الوصول.
وقالت شركة الأمن السيبراني إن المشكلة قد تكون قد مكنت التطبيقات الضارة المثبتة على الجهاز من الحصول على رموز الوصول، ومنح المهاجم أذونات لاستخدام واجهات برمجة التطبيقات لأنشطة المتابعة.
قد يختلف هذا من حذف الملفات والمجلدات في Amazon Drive حتى استغلال الوصول إلى شن هجوم فدية عن طريق قراءة ملفات الضحية وتشفيرها وإعادة كتابتها أثناء محو سجلها.
هذا النص هو مثال لنص يمكن أن يستبدل في نفس المساحة،هذا النص هو مثال لنص يمكن أن يستبدل في نفس المساحة
تحويل كودإخفاء محول الأكواد الإبتساماتإخفاء