کانلی کشف کرد که نقطه پایانی API مورد استفاده توسط این اپلیکیشن، شماره تلفن موجود در JWT payload کاربر وارد شده را در برابر شماره‌ای که سوابق تماس آن درخواست می‌شود، تأیید نمی‌کند. در نتیجه، هر کاربری می‌توانست با استفاده از JWT token معتبر خود، اما جایگزینی مقدار X-Ceq-MDN header با شماره Verizon دیگری، به سوابق تماس‌های ورودی آن دسترسی پیدا کند. این آسیب‌پذیری برای اهداف ارزشمند مانند سیاستمداران، روزنامه‌نگاران و مأموران اجرای قانون بسیار حساس است، زیرا منابع، مخاطبان و روال‌های روزانه آن‌ها قابل ترسیم است. Verizon در بیانیه‌ای اعلام کرد که این آسیب‌پذیری تنها دستگاه‌های iOS را تحت تأثیر قرار داده و هیچ نشانه‌ای از سوءاستفاده از آن وجود نداشته است.
کلمات کلیدی : آسیب‌پذیری Verizon, Call Filter, API امنیتی, JWT token, سوابق تماس, اسپم تشخیص
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.