Cette nouvelle se compose de deux parties:
- Détection d'une vulnérabilité apparue très probablement en raison de l'inattention des développeurs;
- Rapport de la découverte à Beeline.
Mais ce post n'aurait pas paru si tout avait été si simple.
Partie 1. Que s'est-il passé?
Hier, lors du débogage de mon application dans Android Studio, j'ai ouvert Logcat et j'ai vu que «My Beeline» y clignotait. Et alors? J'ai vraiment installé cette application. De nombreuses applications écrivent quelque chose dans le journal.
Mais. Il s'est avéré être un journal des demandes et des réponses HTTP. Encore une fois, ce n'est pas si effrayant. Lien de demande d'API, message sur la réponse réussie.
Mais. Outre le lien, les en-têtes et le corps de la demande, y compris contenu json (soigneusement formaté) et sessions de jetons.
Ensuite, vous pouvez simplement vous faire du pop-corn, filtrer par le mot clé "beeline" et regarder la vie réseau de l'application.
Partie 2. Nous tirons la sonnette d'alarme.
Bien sûr, cela ne devrait pas être laissé. Sans hésitation, je me rends sur le site de la société mentionnée ci-dessus, je traverse mes yeux en diagonale et ne trouve rien de mieux qu'une offre pour démarrer un chat avec support directement sur le site. Bien sûr, je rencontre le contrôle du visage sous la forme d'un chat bot.
Ceci a été suivi du dialogue suivant:
Dialogue avec le botBot: Merci d'avoir contacté notre chat. Posez une question et nos experts vous aideront à trouver une solution.
Moi: Bonjour, j'ai accidentellement découvert une vulnérabilité dans votre application Android, où puis-je la signaler?
Bot: iMessage et FaceTime sont des technologies développées par Apple moyennant des frais. Une connexion Internet est nécessaire pour utiliser. iMessage - vous permet d'envoyer un message texte à un autre utilisateur iMessage. La désactivation du service est possible dans les paramètres de votre appareil: "Paramètres" - "Messages" - "iMessage" - désactiver. FaceTime est un programme avec lequel vous pouvez passer des appels vidéo et audio entre des appareils Apple. Vous pouvez également désactiver cette option dans les paramètres de votre appareil: "Paramètres" - "FaceTime" - désactiver. Si vous avez encore des questions sur les possibilités de ce service, vous pouvez les contacter. Assistance Apple iPhone: 8-800-555-67-34 (appel gratuit).
Moi: Quoi?
Bot: Veuillez préciser ce qui vous intéresse.
Moi: J'ai accidentellement découvert une vulnérabilité dans votre application Android, où puis-je la signaler?
Bot: iMessage et FaceTime sont des technologies développées par Apple moyennant des frais. Une connexion Internet est nécessaire pour utiliser. iMessage - vous permet d'envoyer un message texte à un autre utilisateur iMessage. La désactivation du service est possible dans les paramètres de votre appareil: "Paramètres" - "Messages" - "iMessage" - désactiver. FaceTime est un programme avec lequel vous pouvez passer des appels vidéo et audio entre des appareils Apple. Vous pouvez également désactiver cette option dans les paramètres de votre appareil: "Paramètres" - "FaceTime" - désactiver. Si vous avez encore des questions sur les possibilités de ce service, vous pouvez les contacter. Assistance Apple iPhone: 8-800-555-67-34 (appel gratuit).
Moi: que se passe-t-il?
Bot: Veuillez reformuler votre question.
Moi: J'ai accidentellement découvert une vulnérabilité dans votre application Android, où puis-je la signaler?
Bot: iMessage et FaceTime sont des technologies développées par Apple moyennant des frais. Une connexion Internet est nécessaire pour utiliser. iMessage - vous permet d'envoyer un message texte à un autre utilisateur iMessage. La désactivation du service est possible dans les paramètres de votre appareil: "Paramètres" - "Messages" - "iMessage" - désactiver. FaceTime est un programme avec lequel vous pouvez passer des appels vidéo et audio entre des appareils Apple. Vous pouvez également désactiver cette option dans les paramètres de votre appareil: "Paramètres" - "FaceTime" - désactiver. Si vous avez encore des questions sur les possibilités de ce service, vous pouvez les contacter. Assistance Apple iPhone: 8-800-555-67-34 (appel gratuit).
Je n'ai absolument aucune idée à cause du mot-clé que le bot déformait autant. Cette conversation avec un répondeur m'a rapidement ennuyé. J'ai essayé une autre combinaison et, voilà, les informations d'aide m'ont été empilées à nouveau, mais à la fin on m'a toujours proposé de parler avec une personne réelle. Hourra, un certain Oleg est apparu, a étudié mon dialogue avec le robot (il était probablement soulagé que les robots ne le remplaceraient pas encore) et m'a conseillé de décrire ma découverte avec des captures d'écran à otvet@beeline.ru (je n'ai pas pu trouver sa mention sur le site, peut-être que c'est mauvais Je cherchais). Puis Oleg m'a remercié pour l'aide et est parti à la rescousse d'autres robots.
Je suis ravi des progrès accomplis et j'ai écrit ce qui suit au courrier indiqué:
Ma lettreBon après-midi
J'ai découvert accidentellement que l'application Android My Beeline fusionne toutes les demandes d'API dans le journal avec les jetons et le contenu json. À mon avis, c'est une vulnérabilité.
Cordialement
Kozlov Mikhail
Satisfait de lui-même, il s'est fait du café et a continué à travailler. Aujourd'hui, la réponse est venue.
La réponseBonjour Michael!
On ne sait pas exactement ce qui ne fonctionne pas pour vous. Décrivez votre problème plus en détail.
Merci d'utiliser les services Beeline.
Cordialement
Nekrasov Vyacheslav,
Service d'assistance à la clientèle Beeline.
Après le rituel facepalm, pour ne pas écrire un message disant que cela ne fonctionne pas non pas pour moi, mais pour eux: un chat bot, un service de support et des développeurs d'applications, j'ai décrit le problème plus en détail.
Cette fois, je n'ai pas eu à attendre longtemps, la réponse est venue en cinq minutes.
Le voiciCher client! Nous nous efforçons de suivre le temps et de fournir un service dans les canaux de communication pertinents. Il est important pour nous que vous receviez vos commentaires dès que possible. L'assistance par e-mail n'est pas disponible. Afin d'obtenir une réponse instantanée à toute question, nous vous invitons à discuter avec un spécialiste sur le site: https://beeline.ru/customers/pomosh/ ou dans l'application mobile: https://beeline.ru/dl ! Veuillez noter que cette lettre est générée automatiquement et aucune réponse n'est requise. Nous vous attendons dans un chat sur le site ou dans l'application mobile. Votre beeline!
