Car-tech

Ang kahinaan sa Instagram sa iPhone ay nagbibigay-daan para sa pagkuha ng account

ANDROID VS. IOS | WHAT SHOULD YOU BUY?

ANDROID VS. IOS | WHAT SHOULD YOU BUY?
Anonim

Isang security researcher na inilathala sa Biyernes ng isa pang pag-atake sa Facebook's Instagram photo-sharing service na maaaring magpapahintulot sa isang hacker na sakupin ang kontrol ng account ng biktima.

Ang pag-atake ay binuo ni Carlos Reventlov sa paligid ng isang kahinaan na natagpuan niya sa loob ng Instagram sa kalagitnaan ng Nobyembre. Sinabi niya ang Instagram ng problema sa Nobyembre 11, ngunit noong huling Martes, hindi ito naayos.

Ang kahinaan ay nasa bersyon 3.1.2 ng application ng Instagram, na inilabas noong Oktubre 23, para sa iPhone. Natagpuan ng Reventlov na habang ang ilang mga sensitibong aktibidad, tulad ng pag-log in at pag-edit ng data ng profile, ay naka-encrypt kapag ipinadala sa Instagram, ang ibang data ay ipinadala sa plain-text. Sinubukan niya ang dalawang pag-atake sa isang iPhone 4 na nagpapatakbo ng iOS 6, kung saan siya unang natagpuan ang problema.

[Karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Windows PC]

"Kapag nagsimula ang biktima sa Instagram app, isang plain -text cookie ay ipinadala sa Instagram server, "sumulat si Reventlov. "Kapag nakakakuha ang magsasalakay ng cookie siya ay maaaring mag-craft ng espesyal na mga kahilingan ng HTTP para sa pagkuha ng data at pagtanggal ng mga larawan."

Ang plain-text cookie ay maaaring maharang gamit ang isang tao-sa-gitna na atake hangga't ang hacker ay sa parehong lan (lokal na lugar ng network) bilang biktima. Sa sandaling makuha ang cookie, maaaring tanggalin o i-download ng hacker ang mga larawan o i-access ang mga larawan ng ibang tao na nakakaibigan sa biktima.

Ang kumpanya ng seguridad ng Secunia na napatunayan ang pag-atake at nagbigay ng advisory.

Reventlov nagpatuloy sa pag-aaral ang potensyal ng kahinaan at natagpuan ang isyu ng cookie ay maaari ring pahintulutan ang hacker na kunin ang account ng biktima. Ang pag-kompromiso ay gumagamit ng isang paraan na tinatawag na ARP (Address Resolution Protocol) na spoofing, kung saan ang trapiko sa web ng mobile device ng biktima ay naipadala sa pamamagitan ng computer ng magsasalakay. Sinulat ni Reventlov na posible na maharang ang cookie ng plain text.

Sa pamamagitan ng paggamit ng isa pang tool upang baguhin ang mga header ng isang web browser sa panahon ng paghahatid sa mga server ng Instagram, posible na pagkatapos ay mag-sign in bilang biktima at baguhin ang biktima email address, na nagreresulta sa nakompromiso na account. Ang pag-aayos para sa Instagram ay madali: ang site ay dapat gamitin laging gumamit ng HTTPS para sa mga kahilingan ng API na may sensitibong data, sumulat si Reventlov.

"Nakita ko na maraming apps ng iPhone ang maaaring masugatan sa mga bagay ngunit hindi masyadong maraming mataas na profile apps tulad ng Instagram, "nagsulat si Reventlov sa isang email sa IDG News Service.

Maaaring kaagad na maabot ang mga opisyal ng Instagram o Facebook sa Lunes. Isinulat ni Reventlov sa kanyang mga advisories na natanggap niya ang isang awtomatikong sagot kapag sinabi niya ang Instagram ng isyu.

Magpadala ng mga tip sa balita at komento sa [email protected]. Sumunod kayo sa akin sa Twitter: @jeremy_kirk