Μια ευπάθεια στη λειτουργία φίλτρου κλήσεων της Verizon επέτρεψε στους πελάτες να έχουν πρόσβαση στα εισερχόμενα αρχεία καταγραφής κλήσεων για έναν άλλο ασύρματο αριθμό Verizon μέσω ενός ακάλυπτου αίτημα API.
Το ελάττωμα ανακαλύφθηκε από τον ερευνητή ασφαλείας Έβαν Κόννελ στις 22 Φεβρουαρίου 2025 και καθορίστηκε από την Verizon κάποια στιγμή τον επόμενο μήνα. Ωστόσο, η συνολική περίοδος έκθεσης είναι άγνωστη.
Η εφαρμογή φίλτρου κλήσεων Verizon είναι ένα δωρεάν βοηθητικό πρόγραμμα που προσφέρει στους χρήστες ανίχνευση ανεπιθύμητων μηνυμάτων και αυτόματη αποκλεισμό κλήσεων. Μια πληρωμένη έκδοση (Plus) προσθέτει έναν μετρητή αναζήτησης ανεπιθύμητων μηνυμάτων και μετρητή κινδύνου, τη δυνατότητα εφαρμογής μπλοκ ανά τύπο καλούντος και λαμβάνει αναγνωριστικό καλούντος σε άγνωστους αριθμούς.
Έρχεται η δωρεάν έκδοση της εφαρμογής προεπιλεγμένα και ενεργοποιημένα από προεπιλογή σε επιλέξιμες συσκευές Android και iOS που αγοράστηκαν απευθείας από την Verizon και πιστεύεται ότι χρησιμοποιούνται σε εκατομμύρια συσκευές.
Ο Connelly είπε στον BleepingComputer ότι δοκιμάστηκε μόνο Η εφαρμογή iOS. Ωστόσο, το σημείωσε αυτό η εφαρμογή Android ήταν επίσης πολύ πιθανό να επηρεαστεί από το ίδιο σφάλμα, όπως το ζήτημα ήταν με το API του χαρακτηριστικού και όχι με τις ίδιες τις εφαρμογές.
Εκθέτοντας ιστορίες κλήσεων
Όταν χρησιμοποιούσαμε την εφαρμογή φίλτρου κλήσης, η Connelly ανακάλυψε ότι η εφαρμογή θα συνδεθεί με ένα τελικό σημείο API, https://clr-aqx.cequintvzwecid.com/clr/calllogretrieval, για να ανακτήσει το εισερχόμενο ιστορικό κλήσεων του καταγραφέα και να την εμφανίσει στην εφαρμογή.
“Αυτό το τελικό σημείο απαιτεί ένα JWT (JSON Web Token) στην κεφαλίδα εξουσιοδότησης χρησιμοποιώντας το σχήμα του κομιστή και χρησιμοποιεί μια κεφαλίδα X-CEQ-MDN για να καθορίσει έναν αριθμό τηλεφώνου για να ανακτήσει τα αρχεία καταγραφής κλήσεων για”, εξηγεί ο Connelly.
“Το JWT έχει τρία μέρη: κεφαλίδα, ωφέλιμο φορτίο και υπογραφή. Χρησιμοποιείται συχνά για έλεγχο ταυτότητας και εξουσιοδότηση σε εφαρμογές ιστού”.
Ο Connelly λέει ότι το ωφέλιμο φορτίο περιλαμβάνει διάφορα δεδομένα, συμπεριλαμβανομένου του αριθμού τηλεφώνου του καταγεγραμμένου χρήστη που υποβάλλει το αίτημα στο API.
Πηγή: Connelly
Ωστόσο, ο ερευνητής ανακάλυψε ότι ο αριθμός τηλεφώνου στο ωφέλιμο φορτίο JWT για τον καταγεγραμμένο χρήστη δεν επαληθεύτηκε έναντι του αριθμού τηλεφώνου του οποίου ζητήθηκαν τα αρχεία καταγραφής των εισερχόμενων κλήσεων.
Ως αποτέλεσμα, οποιοσδήποτε χρήστης θα μπορούσε να στείλει αιτήματα χρησιμοποιώντας το δικό του έγκυρο διακριτικό JWT, αλλά να αντικαταστήσει την τιμή κεφαλίδας X-CEQ-MDN με ένα άλλο τηλέφωνο Verizon για να ανακτήσει το εισερχόμενο ιστορικό κλήσης.
Πηγή: Evanconnelly.github.io
Αυτό το ελάττωμα είναι ιδιαίτερα ευαίσθητο για στόχους υψηλής αξίας όπως οι πολιτικοί, οι δημοσιογράφοι και οι πράκτορες επιβολής του νόμου, καθώς οι πηγές, οι επαφές και οι καθημερινές ρουτίνες θα μπορούσαν να χαρτογραφηθούν.
“Τα μεταδεδομένα των κλήσεων μπορεί να φαίνονται αβλαβείς, αλλά σε λάθος χέρια, γίνεται ένα ισχυρό εργαλείο επιτήρησης. Με απεριόριστη πρόσβαση στο ιστορικό κλήσης ενός άλλου χρήστη, ένας εισβολέας θα μπορούσε να ανακατασκευάσει τις καθημερινές ρουτίνες, να εντοπίσει συχνές επαφές και να συμπεράνει προσωπικές σχέσεις”, εξήγησε ο Connelly.
Δεν είναι σαφές εάν ο περιορισμός του ποσοστού υπήρχε για να αποφευχθεί η μάζα απόξεσης για εκατομμύρια συνδρομητές, αλλά ο Connolly δήλωσε στον BleepingComputer ότι δεν είδε καμία ένδειξη τέτοιου μηχανισμού ή πύλης API που συνήθως εφαρμόζει ένα χαρακτηριστικό ασφαλείας όπως αυτό.
Κακές πρακτικές ασφάλειας
Παρόλο που ο ερευνητής επαινεί την Verizon για την άμεση απάντησή του στην αποκάλυψή του, υπογράμμισε τις ανησυχητικές πρακτικές που ακολούθησε η εταιρεία τηλεπικοινωνιών στο χειρισμό των δεδομένων κλήσης των συνδρομητών.
Το ευάλωτο τελικό σημείο API που χρησιμοποιείται από το φίλτρο κλήσεων φαίνεται να φιλοξενείται σε ένα διακομιστή που ανήκει σε μια ξεχωριστή εταιρεία τεχνολογίας τηλεπικοινωνιών που ονομάζεται Cequint, η οποία ειδικεύεται στις υπηρεσίες αναγνώρισης καλούντος.
Ο δικτυακός τόπος του Cequint είναι εκτός σύνδεσης και οι δημόσιες πληροφορίες σχετικά με αυτές είναι περιορισμένες, δημιουργώντας ανησυχίες σχετικά με το πώς αντιμετωπίζονται τα ευαίσθητα δεδομένα κλήσης Verizon.
Ο BleepingComputer ήρθε σε επαφή με την Verizon για να ρωτήσει πότε εισήχθη το ελάττωμα, αν θεωρήθηκε εκμεταλλευόμενοι στο παρελθόν και αν επηρέασε όλους τους χρήστες φίλτρων κλήσεων, αλλά δεν έλαβε απάντηση αυτή τη στιγμή.
Με βάση μια ανάλυση 14 μέτρων κακόβουλων ενεργειών, ανακαλύψτε τις 10 κορυφαίες τεχνικές ATT & CK πίσω από το 93% των επιθέσεων και τον τρόπο υπεράσπισης εναντίον τους.
VIA: bleepingcomputer.com
