Veszélybe kerültek az Authy felhasználók telefonszámai
A Twilio rendszere egy olyan biztonsági hibát tartalmazott, amelyen keresztül milliószámra váltak ellenőrizhetővé telefonszámok.
Június végén az egyik alvilági fórumon felbukkant egy olyan CSV-fájl, amelyben több mint 33 millió telefonszám volt megtalálható. Az állomány publikálója azt állította, hogy a fájlban Twilio rendszerében szereplő (Authy) felhasználói telefonszámok szerepelnek. Az állomány felbukkanását követően a Twilio vizsgálatot indított, és végül kiderült, hogy a rendszerén egy súlyos biztonsági rés tátongott.A kétfaktoros hitelesítést támogató Authy alkalmazások és szolgáltatások világszerte széles körben használatosak (bár a számítógépekre fejlesztett kliensek fejlesztésével éppen nemrégen hagyott fel a cég, nem kis zúgolódást keltve ezzel a felhasználók között). Mivel biztonsági szolgáltatásokat nyújt a cég, ezért fokozott elvárások vannak a rendszereinek védelmével szemben. Ezen elvárásoknak nem igazán tudott most megfelelni, hiszen kiderült, hogy a 33 milliós lista létrejöttéhez egy súlyos sérülékenység járult hozzá.A vizsgálatok feltárták, hogy a biztonsági hibát a Twilio egyik API-ja tartalmazta, mivel az nem volt megfelelően védve a jogosulatlan használat ellen. Ennél fogva korlátlan számban lehetett felhasználni telefonszámok ellenőrzésére. Vagyis bárki megtudhatta egy (vagy akár több millió) telefonszámról, hogy az létezik-e a Twilio Authy adatbázisában valamely felhasználói profilhoz kapcsolódóan. Emellett néhány kiegészítő adat birtokába is juthatott az, aki használta az API-t. Így például egy Twilionál létező telefonszámmal kapcsolatba kideríthette, hogy az aktív felhasználói fiókhoz tartozik-e, és hogy a fiókhoz hány eszköz van társítva. Pontosan ezek az adatok szerepeltek a múlt havi, 33 milliós fájlban is.
Prémium előfizetéssel!
-
A VIM kapcsán két biztonsági hiba merül fel.
-
A Moodle tíz biztonsági hibajavítással bővült.
-
A Microsoft Edge böngésző újabb frissítéseket kapott.
-
A GitLab újabb biztonsági frissítést adott ki.
-
A Tableau Server egy biztonsági hiba miatt kapott frissítést.
-
A Fortinet fontos hibajavításokat tett elérhetővé a FortiOS-hez.
-
Megjelentek a Google Chrome legújabb biztonsági frissítései.
-
Az Adobe veszélyes sebezhetőségeket szüntetett meg az Illustrator alkalmazásban.
-
Az Adobe biztonsági hibajavítást adott ki az InDesign szoftverhez.
-
Jelentős mennyiségű biztonsági frissítés vált elérhetővé az Adobe kereskedelmi platformjaihoz.
Az ESET elnyerte az AV-Comparatives 2024-es Év Terméke díját az ESET HOME Security Essential megoldásával.
Annak ellenére, hogy egyre többen használnak hirdetésblokkolókat és kifinomult biztonsági szoftvereket, a hirdetéseken keresztül terjedő rosszindulatú szoftverek még mindig nagy problémát jelentenek.