Estas aplicaciones moviles populares estan filtrando informacion muy valiosa

Los expertos en seguridad cibernética han descubierto más de mil aplicaciones móviles que contienen una API defectuosa que filtra puntos finales confidenciales (se abre en una nueva pestaña) e información del usuario.

Los investigadores de CloudSEK encontraron 1550 aplicaciones móviles que utilizan Alogolia, una API patentada que ayuda a los desarrolladores móviles a integrar motores de búsqueda con funciones de descubrimiento y recomendación que se encuentran en sitios web y aplicaciones.

Según la empresa, esta API es utilizada por más de 11.000 empresas en todo el mundo.

abuso de servicio

Aligolia viene con cinco claves API: administración, búsqueda, monitoreo, uso y análisis, y según los investigadores, la búsqueda es la única clave que se supone que está disponible públicamente en el front-end, ya que ayuda a los usuarios a buscar en la aplicación. El monitoreo brinda acceso al estado del clúster, el uso y el análisis se explican por sí mismos, mientras que la clave Admin brinda acceso a las otras cuatro claves, así como a otras funciones.

Sin embargo, los investigadores descubrieron que era posible abusar de estos servicios y así exponer los datos que manipulan.

“Si bien la clave API de administración permite a los actores de amenazas realizar varias acciones críticas y brinda acceso a datos confidenciales, incluso con una o más de las otras claves API, los actores de amenazas pueden buscar o ver datos confidenciales”, dijo un analista de CloudSEK a BleepingComputer.

«Además, dependiendo de los cambios de código en futuras versiones de las aplicaciones, los actores de amenazas pueden acceder a datos más confidenciales utilizando solo estas claves».

De las 1550 aplicaciones en cuestión, se filtraron 32 secretos de administración, incluidas 57 claves de administración únicas. Con estos, un actor de amenazas no solo podría obtener acceso a la información confidencial de los usuarios (se abre en una nueva pestaña), sino también manipular los registros y la configuración del índice de la aplicación.

En total, las aplicaciones que filtraron la clave de administrador se descargaron alrededor de 3 250 000 veces. Algunas aplicaciones tienen más de un millón de descargas, se ha dicho. Las aplicaciones se dividen en todo tipo de categorías, desde aplicaciones de noticias hasta aplicaciones de alimentos, educación, fitness, aplicaciones comerciales y muchas más.

CloudSEK no proporcionó una lista de las aplicaciones afectadas, pero dijo que contactó a sus desarrolladores y no recibió respuesta.

Via : BleepingComputer (Ouvre dans un nouvel onglet)

Share