Almanya'da yaygın olarak kullanılan bir öğrenci topluluğu uygulaması olan yaklaşık 400.000 Scoolio kullanıcısı, platformdaki bir API hatasından dolayı maruz kalan hassas bilgilere sahipti.
Lilith Wittmann, BT güvenliği kollektifinden bir güvenlik araştırması "Zerforchung", hatayı keşfetti ve hemen bulgularını Scoolio ekibine açıkladı.
Scoolio, daha iyi zaman yönetimi becerileri, özel ders, ev ödev planlaması ve eşleriyle ağ için grup sohbeti oluşturmayı amaçlayan bir Alman öğrenci topluluğu uygulamasıdır. Uygulamaya ayrıca şirketlerin, iş açılışlarını veya staj olanaklarını paylaşmak için öğrencilerle ağ yapmalarını sağlar.
Scoolio, bu araçlar ve özellikler aracılığıyla oluşturulan veri toplayarak ve daha sonra hedeflenmiş reklamlarla para kazanarak para kazandırır. Bununla birlikte, SCOOLIO, öğrencilerden herhangi bir bilgiyi onaylamadıkları veya paylaşmadıklarını belirtir.
Öğrenci üyeliği oluşturmak için, Scoolio, Platformlarını Dosya Borsaları veya Uzak Dijital Ödev Koleksiyonu için uzaktan bir öğretim yardımı aracı olarak kullanmak için Almanya'nın etrafındaki okullarla ortaklık kurmuştur.
Finansal olarak üç devlete ait yatırım grubu tarafından desteklenen, yani SIB inovasyonu - ve Beteiligungsgesellschaft MBH, Teknoloji Finder Fonu Saksonya ve Kreissparkasse Bautzen.
Ortaklıklar ve hükümet destekleri nedeniyle, birçok öğrenci uygulamayı sınıflarında standart bir araç olarak kullanır.
Zerforchung'un raporunda, Wittmann, App uygulamasında kullanılan herhangi bir kullanıcı kimliği için son derece hassas verileri almak için Scoolio API kusurlarını nasıl kullandığını açıklıyor.
Açık olan kişisel veriler şunları içerir:
Wittman, aşağıdaki kusur tarafından maruz kalan veri türlerinin kurgusal bir örneğini paylaştı.
Scoolio, 1.8 milyon kişinin uygulamalarını kullandığını belirtirken, araştırmacı gerçek sayının kullanıcı kimliklerinin nasıl oluşturulduğuna bağlı olarak 400.000'e daha yakın olduğuna inanıyor.
"Kaç öğrencinin etkilendiğini tam olarak söyleyemeyiz. Çünkü scoolio, kullanıcı numaralarını sormadan hesap oluşturarak yapay olarak şişirir: Uygulamayı indirir ve bir kez açtığınızda, bir UUID ile boş bir profil oluşturulur - gerçekte Zerforchung Raporu'nu bir kullanıcı hesabı oluşturmak istiyorum.
Zerforchung, 21 Eylül 2021'de Kusurunu Scoolio'ya açıkladıklarını, ancak yazılım geliştiriciyi 25 Ekim 2021'e kadar bir yama dağıtmak için aldı.
Bununla birlikte, düzeltmenin sadeliği ve maruz kalan verilerin hassas niteliği nedeniyle, Wittmann, düzeltmenin daha hızlı bir şekilde serbest bırakılması gerektiğine inanıyor.
"Bayan Wittmann'a, Exchange ve SDD'ler için Bayan Wittmann'a, güvenlik önlemlerimizle ilgili geri bildiriminiz için teşekkür ederim," Danny Roller, SCOOOIO uygulamasının CEO'su "Danny Roller, bir açıklamada paylaştı.
"Neyse ki, kapsamlı testten sonra, Bayan Wittmann'ın soruşturmasından önce üçüncü şahıslar tarafından hiçbir kullanıcı verisinin ele geçirilmemesini ve buldukları boşlukları başarıyla kapattık."
Alman araştırmacılar tekrar ransomware çete çekirdek üyesini tanımlar
Mozilla, 455k Firefox kullanıcıları tarafından yüklenen kötü amaçlı eklentileri engeller.
Avustralya Taslaklar Online Gizlilik Faturası Bolster Veri Güvenliğini Bolster
Hacker, milyonlarca Moskova sürücüsü için verileri 800 dolara satıyor
Accenture, Ağustos Ransomware saldırısından sonra veri ihlalini onaylar
Kaynak: Bleeping Computer