НОВОСТИ Баг в agora sdk позволял следить за пользователями ряда приложений

GLOV

Выдающийся
ТЕНЕВОЙ НАДЗИРАТЕЛЬ
ПРОВЕРЕННЫЙ ПРОДАВЕЦ
ЮБИЛЕЙНАЯ ЛЕНТА

GLOV

Выдающийся
ТЕНЕВОЙ НАДЗИРАТЕЛЬ
ПРОВЕРЕННЫЙ ПРОДАВЕЦ
ЮБИЛЕЙНАЯ ЛЕНТА
Регистрация
20 Апр 2019
Сообщения
1,435
Реакции
111
Репутация
0
eRub
1,088
Род занятий

Готовые кошельки, Дебетовые карты

ГАРАНТ
1

Еще в прошлом году эксперты компании McAfee обнаружили опасный баг в SDK Agora, который используется для реализации аудио- и видеозвонков. Уязвимость, получившая идентификатор CVE-2020-2560, позволяла незаметно подключаться к чужим аудио- и видеозвонкам.



Схема атаки
Исследователи предупреждают, что Agora используют такие приложения, как MeetMe, Skout, Nimo TV, temi, Dr. First Backline, Hike, Bunch и Talkspace.Они имеют десятки миллионов загрузок только по официальной статистике Google Play Store.


Обнаруженная проблема заключается в том, что Agora SDK не шифрует данные, передаваемые в процессе совершения нового вызова, даже если в приложении включена функция шифрования. Из-за этого любой желающий, находящийся в той же сети, что и жертва, может перехватить трафик на начальных этапах вызова, извлечь из него различные ID, а затем тайно присоединиться к звонку. Эксперты подчеркивают, что они пока не наблюдали подобные атаки на практике.




Отчет McAfee гласит, что разработчики Agora SDK исправили баг еще в конце 2020 года и призвали всех обновиться. Однако специалистам неизвестно, в каких именно приложениях уже применяется новая, лишенная опасной проблемы версия SDK.

«В мире онлайн-знакомств нарушение безопасности или возможность прослушивать звонки могут закончиться шантажом или преследованием со стороны злоумышленника. Но другие приложения с меньшей клиентской базой, где разработчики тоже применяют Agora, такие как робот temi, используются в других сферах, включая больницы, где возможность шпионить за разговорами уже может привести к утечке конфиденциальной медицинской информации», — предупреждают аналитики.
 
Сверху