El gigante minorista, Amazon, parcheó en mayo un problema de seguridad de alta gravedad en su aplicación Ring para Android que podría haber permitido que una aplicación falsa instalada en el dispositivo de un usuario accediera a información sensible y a las grabaciones de la cámara.
La aplicación Ring para Android tiene más de 10 millones de descargas y permite a los usuarios supervisar las transmisiones de vídeo de dispositivos domésticos inteligentes como timbres de vídeo, cámaras de seguridad y sistemas de alarma. Amazon adquirió el fabricante de timbres por unos 1.000 millones de dólares en 2018.
La firma de seguridad de aplicaciones Checkmarx explicó que identificó una falla de secuencias de comandos en sitios cruzados (XSS) que, según dijo, podría ser armada como parte de una cadena de ataque para engañar a las víctimas para que instalen una aplicación maliciosa.
La aplicación puede utilizarse entonces para hacerse con el token de autorización del usuario, que puede aprovecharse posteriormente para extraer la cookie de sesión enviando esta información junto con el ID de hardware del dispositivo, que también está codificado en el token, al endpoint “ring[.]com/mobile/authorize”.
Armado con esta cookie, el atacante puede iniciar sesión en la cuenta de la víctima sin tener que conocer su contraseña y acceder a todos los datos personales asociados a la cuenta, incluyendo el nombre completo, la dirección de correo electrónico, el número de teléfono y la información de geolocalización, así como las grabaciones del dispositivo.
Checkmarx dijo que informó del problema a Amazon el 1 de mayo de 2022, tras lo cual se puso a disposición una solución el 27 de mayo en la versión 3.51.0. No hay pruebas de que el problema haya sido explotado en ataques reales, y Amazon calificó el exploit de “extremadamente difícil” y subrayó que no se expuso información de los clientes.
Este hecho se produce más de un mes después de que la empresa se ocupara de una grave debilidad que afectaba a su aplicación Fotos para Android y que podría haber sido explotada para robar los tokens de acceso de un usuario.
Info – Ciberseguridad Latam