Yik Yak修复了泄露用户GPS位置的信息泄露漏洞

两名安全研究人员独立发现的 Hairy MitM 漏洞利用,Yik Yak修复了泄露用户GPS位置的信息泄露漏洞。“匿名”社交网络Yik Yak花了三个多月的时间来解决漏洞,这意味着它根本不是匿名的,尽管来自两名不同的安全研究人员的报告。Yik Yak于2013年推出,允许用户匿名互相发送消息,但在受到网络欺凌指控后于2017年被关闭。它于去年重新启动,目前声称拥有约200万用户。

 

本月早些时候,威斯康星州计算机科学专业的学生David Teather透露,他能够访问用户在网站上发布的所有帖子和评论的精确位置,精确到10英尺到1 英尺,以及用户ID。

他指出,这意味着,特别是在农村地区,可以找到用户的家庭住址,这可能是出于盗窃或跟踪的目的。

研究人员能够通过使用开源Mitmproxy工具拦截来自客户端的HTTP请求来做到这一点。他说,这“非常简单”。

Teather于4月11日向Yik Yak提交了他的研究结果,他不知道另一位研究员Mika Melikyan几个月前报告了同样的问题。

“我们发现了类似的问题,但Mika比我挖掘得更深,并且能够成为Yik Yak数据库的管理员。”Teather告诉The Daily Swig。

“我不知道他的工作,但他在二月份向Yik Yak报告了他的问题。”

Melikyan说他2月1日的报告主要关注GPS数据泄露。

“然而,发现了更多漏洞,例如:任何用户都可以提升他们的权限并成为管理员,任何用户都可以修改或删除时间线上的任意帖子,任何用户都可以修改任意帖子的‘upvote’计数。”他说。

“这意味着攻击者可以更改任何帖子以获得成千上万的赞成票。这是危险的,因为它可以被用作人为地产生社会接受度的工具。想象一下,就在选举之前,有人发表了一篇匿名帖子,赞扬了一位总统候选人,并改变为有100,000人支持。”

在两名研究人员独立报告后Yik Yak于5月8日进行了更改,导致该应用程序不再向客户端返回用户ID。5月18日,它更进一步,降低了GPS定位的准确性,以及用户之间的距离。

然而,Melikyan说,“在2月1日至5月期间,Yik Yak应用程序进行了多次更新,但都没有解决漏洞。开发人员完全意识到这一点,他们没有优先考虑它。”

发表评论

评论已关闭。

相关文章