• Shot on OnePlus 앱에는 보안 결함이 있습니다.
• 결함으로 인해 사용자의 이름, 국가 및 이메일 주소가 노출되었습니다.
• OnePlus는 보안 결함을 다소 해결했습니다.

에 따르면 9to5Google 오늘 초에 발표 된 보고서에 따르면 보안 결함으로 인해 Shot on OnePlus 앱을 통해 수백 개의 이메일 주소가 유출되었습니다. OnePlus는 OnePlus 7 Pro 및 기타 OnePlus 전화에 앱을 사전 설치합니다.

이름에서 알 수 있듯이 Shot on OnePlus는 다른 사람들의 사진을 보여주고 자신의 사진을 업로드 할 수 있습니다. 사진을 업로드 할 때 제목, 위치 및 설명을 변경할 수 있습니다. Shot on OnePlus는 사용자가 앱 및 웹 사이트 내에서 프로필 이름, 국가 및 이메일 주소를 변경할 수있는 사진 업로드를위한 로그인이 필요합니다.

운수 나쁘게, 9to5Google API (일반적으로 공개 사진을 가져오고 앱과 OnePlus 서버간에 링크를 만드는 데 사용됨)가 일반적인 API 보안없이 쉽게 액세스 할 수 있음을 발견했습니다. open.oneplus.net에서 호스팅되는이 API는 액세스 토큰이있는 모든 사람이 액세스 할 수 있으며 민감한 사용자 데이터를 포함하고 있습니다.

설상가상으로 API의 "gid"가 있습니다. gid는 API가 특정 사용자를 식별 할 수있게하는 영숫자 코드입니다. 사용자의 위치를 ​​나타내는 두 글자와 고유 번호의 두 부분으로 구성됩니다. 예를 들어, CN472834는 중국의 사용자이고 EN593874는 다른 곳의 사용자입니다.

취약한 API는 gid를 사용하여 사용자가 업로드 한 사진을 찾거나 해당 사진을 삭제합니다. 또한 API는 gid를 사용하여 이름, 국가 및 이메일과 같은 사용자 정보를 가져 와서 해당 정보를 업데이트합니다.

그것이 나쁘지 않은 것처럼, 다른 사용자를 찾기 위해 큰 숫자를 순환 할 수 있습니다.

좋은 소식은 API가 더 이상 사진을 공개적으로 업로드하는 사람들의 이메일 주소를 누설하지 않는다는 것입니다. OnePlus는 또한 Shot on OnePlus 앱만 API를 사용하도록 만들었습니다. 9to5Google 쉽게 우회 할 수있는 메모. 마지막으로 API는 별표로 이메일 주소를 숨 깁니다.

댓글을 달기 위해 OnePlus에 연락했지만 보도 시간으로 응답을받지 못했습니다.