Appthority: ثغرة تؤثر على 180 مليون مستخدم

حذرت شركة الأمن السيبراني Appthority اليوم الخميس من وجود ثغرة تعرض للخطر ما يصل إلى 180 مليون من أصحاب الهواتف الذكية، بحيث يمكن للهاكرز استغلال الثغرة لاعتراض الرسائل النصية والمكالمات، ويعود ذلك لوجود خطأ بسيط في التعليمات البرمجية ضمن ما لا يقل عن 685 تطبيق للأجهزة المحمولة، وأوضحت الشركة أن الثغرة، التي تسمى Eavesdropper، موجودة منذ عام 2011.
وبحسب شركة الحماية Appthority فقد قام العديد من المبرمجين، وعن طريق الخطأ، بتوفير وثائق التفويض اللازمة للحصول على الخدمات التي تقدمها شركة تويليو Twilio، وهي منصة اتصالات سحابية يقع مقرها في سان فرانسيسكو في ولاية كاليفورنيا، وتسمح الشركة لمطوري البرامج بإجراء مكالمات هاتفية وتلقيها وإرسال رسائل نصية واستبقالها برمجياً من خلال واجهة برمجة التطبيقات لخدمة الويب خاصتها.
وتتطلب الثغرة ثلاث خطوات لتنفيذها هي الاستطلاع والاستغلال والتدفق، بحيث يبحث الهاكرز في البداية عن التطبيقات التي تستعمل تويليو، ومن ثم يستعمل أداة مثل VirusTotal أو YARA للعثور على التطبيقات التي تحدد السلاسل داخل التطبيقات ومن ثم البحث عن سلسلة “تويليو”، وبمجرد الانتهاء من ذلك، يمكن للهاكرز تحديد وثائق اعتماد تويليو.
وقال سيث هاردي مدير البحوث الأمنية في شركة Appthority “يمكن للهاكرز الوصول إلى تلك البيانات من خلال مراجعة التعليمات البرمجية في التطبيقات، ومن ثم الوصول إلى البيانات المرسلة عبر تلك الخدمات”، وتسلط النتائج الضوء على التهديدات الجديدة التي يجلبها الاستخدام المتزايد لخدمات الطرف الثالث مثل شركة تويليو، والتي توفر تطبيقات محمولة مع وظائف مثل الرسائل النصية والمكالمات الصوتية.
ويمكن للمطورين أن يوفروا عن غير قصد ثغرات أمنية إذا لم يقوموا ببرمجة أو إعداد هذه الخدمات بشكل صحيح، وأضاف مدير البحوث الأمنية في الشركة “هذا الأمر لا يتقصر على شركة تويليو، إنها مشكلة شائعة عبر خدمات الطرف الثالث، وغالباً ما نلاحظ أنه إذا ارتكب المبرمج خطأ مع خدمة واحدة فإنه سوف يفعل ذلك مع خدمات اخرى أيضاً”.
وتستعمل العديد من التطبيقات خدمات تويليو لإرسال رسائل نصية وإجراء مكالمات هاتفية والتعامل مع الخدمات الاخرى، ويمكن للهاكرز الوصول إلى البيانات ذات الصلة إذا قاموا بتسجيل الدخول إلى حسابات المطور على تويليو، وتعتبر هذه الأخطاء ناتجة عن المطورين وليس تويليو، ويحذر موقع تويليو مطوري البرمجيات من أن قيامهم بترك وثائق الاعتماد ضمن التطبيق قد يكشف الحساب للهاكرز.
وقال المتحدث باسم شركة تويليو “إن الشركة ليس لديها دليل على أن الهاكرز قد استخدموا وثائق التفويض المشفرة الموجودة ضمن التطبيقات للوصول إلى بيانات العملاء، لكنها تعمل مع المطورين من أجل تغيير وثائق التفويض فيما يخص الحسابات المتأثرة”.
وتؤثر الثغرة على المكالمات والنصوص التي تمت داخل تطبيقات تستعمل خدمات الرسائل من تويليو، بما في ذلك بعض تطبيقات الاعمال المستعملة لتسجيل المكالمات الهاتفية، وضمن عملية مسح شملت 1100 تطبيق توصلت شركة Appthority إلى وجود 685 تطبيق تم ربطها إلى 85 حساب متأثر في تويليو.