Applebee's Android uygulamasındaki gömülü veritabanı parolası müşteri kayıtlarını açığa çıkardı

Ne oldu

TechCrunch'a göre Applebee's, bir araştırmacının zincirin Android uygulamasının içinde gizlenmiş bir iç veritabanı parolası keşfetmesinin ardından, kayıtlı müşterilerinin kişisel bilgilerine herkesin erişmesine izin veren bir güvenlik açığını kapattı.

İngiltere merkezli What Security güvenlik araştırmacısı Robert Wiggins, kimlik bilgisini Ekim başında buldu. TechCrunch'ın haberine göre Wiggins, uygulamanın kaynak kodunu taramak ve şirketin müşteri veritabanına erişim sağlayan bu gizli bilgiyi ortaya çıkarmak için bir yapay zeka modeli kullandı. Uygulama Google Play'de bir milyondan fazla kez indirildi.

Bir parolayı veya anahtarı doğrudan dağıtılan yazılıma gömmek, yani hardcoding, en ciddi güvenlik hataları sınıfından sayılır; çünkü uygulamayı ele geçiren herkes bu kimlik bilgisini çıkarabilir ve yetkili bir kullanıcı gibi uzak sisteme giriş yapabilir.

TechCrunch, uygulamayı kendisi decompile ederek kimlik bilgisinin gerçekten mevcut olduğunu doğruladığını söylüyor. Gazetenin muhabirleri ardından sahte verilerle dolu bir Applebee's hesabı oluşturdu ve Wiggins bu verileri şirketin veritabanından geri alabildi.

Hangi veriler açığa çıktı

Veritabanında isimler, e-posta adresleri ve bunların doğrulanıp doğrulanmadığı, doğum tarihleri, telefon numaraları ve posta kodları yer alıyordu. Ayrıca veteran statüsü, giriş sayıları, hesap oluşturma tarihleri ve müşterilerin son girişlerine ait IP adresleri — bir kişinin konumunu tahmin etmek için kullanılabilecek veriler — saklanıyordu. Wiggins, bu kimlik bilgisinin kötü niyetli bir saldırgana müşteri kayıtlarını yalnızca okuma değil, değiştirme imkanı da verebileceğini söyledi.

Kaç müşterinin etkilendiği bilinmiyor. TechCrunch'a göre kayıtları saymak, veritabanını sorgulamayı ve potansiyel olarak her kayda dokunmayı gerektirecekti; Wiggins bundan kaçındı. Applebee'nin sadakat programı geçen yıl itibarıyla en az 8,5 milyon üyeye sahipti, ancak şirket bunlardan kaçının bu hata nedeniyle etkilendiğini söylemedi.

Bir bildirim boşluğu

Wiggins'in Applebee's ya da ana şirketi Dine Brands'ı doğrudan uyarma yolu reportedly yoktu, çünkü ikisi de güvenlik sorunlarını bildirmek için bir kanal sunmuyor. Eşgüdümlü açıklama için TechCrunch'a başvurdu ve yayın, hata düzeltildiği doğrulanana kadar haberi bekletti.

Bir Dine Brands sözcüsü, güvenlik ekibinin derhal bir soruşturma başlattığını ve şimdiye dek yetkisiz erişim kanıtı bulmadığını söyledi. TechCrunch'ın sorusu üzerine sözcü, şirketin veritabanına kimin eriştiğini gösterebilecek sunucu loglarını tutup tutmadığını ya da hiç log tutup tutmadığını doğrulamadı. Şirket, kimlik bilgisinin uygulamada ne kadar süredir bulunduğu, müşterilerin ya da ABD düzenleyicilerinin bilgilendirilip bilgilendirilmeyeceği ve halka açık şirkelerin önemli siber güvenlik olaylarında sunmak zorunda olduğu Securities and Exchange Commission bildiriminin yapılıp yapılmayacağına dair soruları yanıtsız bıraktı.

Neden önemli

Geliştiriciler için bu, gizli bilgi yönetimi konusunda ders kitabı niteliğinde bir örnek. Mobil uygulamalar herkese dağıtılan kamuya açık artefaktlardır ve derlenmiş binary'ler ücretsiz araçlarla decompile edilebilir. Bir uygulamaya gömülmüş her kimlik bilgisi, uygulamayı dağıtıldığı anda ele geçirilmiş sayılmalıdır; TechCrunch'ın doğrulaması bunu açıkça gösteriyor, çünkü içeride hiçbir bilgisi olmayan bir muhabir parolayı çıkarıp canlı müşteri verilerini sorgulayabildi.

Önlemler iyi biliniyor: gizli bilgileri sunucu tarafında tutmak, uygulamaların yetkilendirmeyi zorunlu kılan bir API üzerinden kullanıcı bazında kimlik doğrulaması yapmasını sağlamak, bir binary içinde dağıtılmış her şeyi rotate etmek ve sürüm öncesinde CI'da secret scanning ile binary analizi çalıştırmak. Bunların hiçbiri sıra dışı değil; yalnızca gerçekten uygulanmaları gerekiyor.

Haber ayrıca güvenlik iletişim kanalı bulunmamanın bedelini gösteriyor. Ciddi ve doğrulanmış bir bulguya sahip bir araştırmacı, bunu bir haber odası aracılığıyla iletmek zorunda kaldı. Yayınlanmış bir güvenlik açığı bildirim politikası ve basit bir raporlama kanalı, şirkete gazeteci aracılığıyla yürütülen bir açıklama ve erişim loglarının var olup olmadığına dair yanıtsız kalan bir soru yerine sessiz bir hazırlık süresi kazandırırdı.