Компания Ring, принадлежащая Amazon, исправила ошибку, которая позволяла злоумышленникам получить записи с видеодомофонов и камер наблюдения. Об уязвимости сообщил независимый исследователь безопасности.
Компания Ring занимается разработкой и поставками видеодомофонов и систем видеонаблюдения. Устройства компании не просто транслируют все происходящее на монитор, но сохраняют записи в облако и выводят картинку в мобильное приложение. Исследователь безопасности из компании Checkmarx проанализировал версию приложения для Android и нашёл в нём уязвимость, которая позволяла получать доступ к учётным записям пользователей.
Уязвимость была обнаружена в активности com.ringapp/com.ring.nh.deeplink.DeepLinkActivity, которую экспортировали в Android Manifest. Всё дело в том, что к этой активности могли обращаться и другие приложения, установленные на устройстве пользователя. Активность принимала, загружала и выполняла веб-содержимое с любого сервера, если то содержало строчку /better-neighborhoods/.
Таким образом злоумышленники могли вынудить жертву установить и запустить фишинговое приложение. С его помощью у хакеров была возможность похитить cookie-файл, содержащий в себе данные для авторизации. Этот файл хакеры могли использовать для входа в пользовательский профиль.
После всего этого у злоумышленников была возможность скомпрометировать имя пользователя, адрес электронной почты, геолокацию, серийный номер устройства и записи с видеокамер. Кроме всего прочего, с самих записей можно было следить за людьми в доме и наблюдать за картинкой на мониторе компьютера, если тот располагался близко к камере.
Разработчики исправили ошибку ещё в обновлении за 27 мая, но не рассказывали об этом публично. Исследователю безопасности сообщили, что уязвимостью никто не успел воспользоваться.
