Une faille de sécurité dans une application d’enregistrement d’appels iPhone populaire a exposé des milliers de conversations enregistrées par des utilisateurs.
La faille a été découverte par Anand Prakash, chercheur en sécurité et fondateur de PingSafe AI, qui a découvert que le bien nommé Enregistreur d’appel app permettait à quiconque d’accéder aux enregistrements d’appels d’autres utilisateurs – en connaissant leur numéro de téléphone.
Mais en utilisant un outil proxy facilement disponible comme Burp Suite, Prakash pourrait afficher et modifier le trafic réseau entrant et sortant de l’application. Cela signifiait qu’il pouvait remplacer son numéro de téléphone enregistré avec l’application par le numéro de téléphone d’un autre utilisateur de l’application et accéder à leurs enregistrements sur son téléphone.
TechCrunch a vérifié Prakash’s résultats en utilisant un téléphone de rechange avec un compte dédié.
L’application stocke les enregistrements d’appels de ses utilisateurs sur un stockage en ligne bucket hébergé sur Amazon Web Services. Bien que le public était ouvert et répertorie les fichiers à l’intérieur, les fichiers ne pouvaient pas être consultés ou téléchargés. Le seau a été fermé au moment de la presse.
Au moment de la rédaction de cet article, le compartiment de stockage dans le cloud comptait plus de 130000 enregistrements audio, soit quelque 300 gigaoctets. Le appli dit qu’il a plus d’un million de téléchargements à ce jour.
TechCrunch a contacté le développeur de l’application et a tenu cette histoire jusqu’à ce que la faille soit corrigée. Une nouvelle version de l’application a été soumise samedi à l’App Store d’Apple. Les notes de publication indiquaient que la mise à jour de l’application consistait à «corriger un rapport de sécurité».
Malgré une brève réponse à notre premier e-mail reconnaissant le problème de sécurité, le développeur de l’application Arun Nair n’a pas renvoyé plusieurs demandes de commentaires.
Envoyez des conseils en toute sécurité via Signal et WhatsApp au + 1646-755-8849. Vous pouvez également envoyer des fichiers ou des documents en utilisant SecureDrop.
