מחקר צ'ק פוינט ו-Claroty Team82: חולשות אבטחה בתשתית הצ'אטים והווידאו של QuickBlox
QuickBlox הינה פלטפורמת צ'אט ושיחות וידאו הנמצאת בשימוש לפיתוח אפליקציות iOS, אנדרואיד ואינטרנט
עמי רוחקס דומבה
| 18/07/2023
אמיר פרמינגר, סגן נשיא למחקר בקלארוטי | קרדיט צילום: קרן מזור
חוקרי צ'ק פוינט Check Point Research (CPR) וצוות המחקר של קלארוטי, Team82 חושפים חולשות אבטחה משמעותיות בארכיטקטורת פלטפורמת QuickBlox.
ניצול החולשות עלול לאפשר לתוקפים לגשת לעשרות אלפי בסיסי נתונים של משתמשי אפליקציות ולהעמיד מיליוני רשומות של משתמשים בסיכון. חולשות האבטחה התגלו במסגרת מחקר משותף שבחן את האבטחה של QuickBlox SDK.
QuickBlox הינה פלטפורמת צ'אט ושיחות וידאו הנמצאת בשימוש לפיתוח אפליקציות iOS, אנדרואיד ואינטרנט. הפלטפורמה מותקנת בבסיסם של שירותי צ'אט ווידאו בזמן אמת, הזמינים באפליקציות טלרפואה, במכשירי אינטרקום, באפליקציות בתחום הפיננסים וביישומי IoT חכמים רבים המשמשים מיליוני אנשים.
היא מספקת API לאימות, ניהול משתמשים, צ'אט והודעות, ניהול קבצים ועוד, וכן SDK פשוט לשימוש, המאפשר יכולות קול ווידאו.
בדוח המשותף שפרסמו גופי המחקר בבלוג של Claroty Team82, הודגם כיצד תוקפים יכולים לנצל את חולשות האבטחה באפליקציות רבות המבוססות על פלטפורמתQuickBlox SDK, כולל יישומי אינטרקום חכמים ואפליקציות טלרפואה.
צוותי המחקר גילו את חולשות האבטחה לראשונה תוך כדי מחקר על אפליקציית אינטרקום. על ידי חיבור שרשרת החולשות עם פגמים אחרים באפליקציות שונות שנבדקו, החוקרים מצאו דרכים ייחודיות לגלות התקפות שתוקפים יכלו לממש על מנת לגשת למידע מרחוק באמצעות יישומי אינטרקום וכן להדליף מידע רגיש של חולים מפלטפורמת רפואה משמעותית.
החוקרים גילו מספר חולשות אבטחה באינטרקום החכם של היצרנית הישראלית Rozcom, הנמכר לבנייני מגורים ומשרדים. חולשות האבטחה שנמצאו בארכיטקטורה של האינטרקום, לו נוצלו ע״י תוקפים, היו מאפשרות לגשת למידע אישי של לקוחות ואף לבצע התקפות השתלטות מלאות על חשבונות ענן של מכשירי אינטרקום ובכך לשלוט במכשירים מרחוק..
מערך הסייבר הישראלי פרסם חלק ניכר מהפגיעויות (CVE) בפלטפורמת Rozcom.
QuickBlox הינה פלטפורמת צ'אט ושיחות וידאו הנמצאת בשימוש לפיתוח אפליקציות iOS, אנדרואיד ואינטרנט
אמיר פרמינגר, סגן נשיא למחקר בקלארוטי | קרדיט צילום: קרן מזור
חוקרי צ'ק פוינט Check Point Research (CPR) וצוות המחקר של קלארוטי, Team82 חושפים חולשות אבטחה משמעותיות בארכיטקטורת פלטפורמת QuickBlox.
ניצול החולשות עלול לאפשר לתוקפים לגשת לעשרות אלפי בסיסי נתונים של משתמשי אפליקציות ולהעמיד מיליוני רשומות של משתמשים בסיכון. חולשות האבטחה התגלו במסגרת מחקר משותף שבחן את האבטחה של QuickBlox SDK.
QuickBlox הינה פלטפורמת צ'אט ושיחות וידאו הנמצאת בשימוש לפיתוח אפליקציות iOS, אנדרואיד ואינטרנט. הפלטפורמה מותקנת בבסיסם של שירותי צ'אט ווידאו בזמן אמת, הזמינים באפליקציות טלרפואה, במכשירי אינטרקום, באפליקציות בתחום הפיננסים וביישומי IoT חכמים רבים המשמשים מיליוני אנשים.
היא מספקת API לאימות, ניהול משתמשים, צ'אט והודעות, ניהול קבצים ועוד, וכן SDK פשוט לשימוש, המאפשר יכולות קול ווידאו.
בדוח המשותף שפרסמו גופי המחקר בבלוג של Claroty Team82, הודגם כיצד תוקפים יכולים לנצל את חולשות האבטחה באפליקציות רבות המבוססות על פלטפורמתQuickBlox SDK, כולל יישומי אינטרקום חכמים ואפליקציות טלרפואה.
צוותי המחקר גילו את חולשות האבטחה לראשונה תוך כדי מחקר על אפליקציית אינטרקום. על ידי חיבור שרשרת החולשות עם פגמים אחרים באפליקציות שונות שנבדקו, החוקרים מצאו דרכים ייחודיות לגלות התקפות שתוקפים יכלו לממש על מנת לגשת למידע מרחוק באמצעות יישומי אינטרקום וכן להדליף מידע רגיש של חולים מפלטפורמת רפואה משמעותית.
החוקרים גילו מספר חולשות אבטחה באינטרקום החכם של היצרנית הישראלית Rozcom, הנמכר לבנייני מגורים ומשרדים. חולשות האבטחה שנמצאו בארכיטקטורה של האינטרקום, לו נוצלו ע״י תוקפים, היו מאפשרות לגשת למידע אישי של לקוחות ואף לבצע התקפות השתלטות מלאות על חשבונות ענן של מכשירי אינטרקום ובכך לשלוט במכשירים מרחוק..
מערך הסייבר הישראלי פרסם חלק ניכר מהפגיעויות (CVE) בפלטפורמת Rozcom.
