数百万iOS用户可能容易受到中间人攻击,这些攻击可以追溯到流行的iPhone应用程序中使用的有缺陷的Twitter代码。
研究人员警告说,流行的ios移动应用程序仍在使用一个老的twitter api,它可能会被滥用,成为中间人攻击的一部分。它可能被用来劫持twitter帐户,并危害其他链接到同一“用twitter登录”功能的第三方应用程序。
德国fraunhofer sit的研究人员称,罪魁祸首是一个有缺陷的twitterkit库,大约一年前被twitter取代。然而,一项对2000款最受欢迎的德国iOS移动应用程序的回顾显示,坏代码目前仍在45款应用程序中使用,影响了数百万德国用户。
研究人员说,在全球范围内,运行BuggyTwitter工具包框架的应用程序数量可能接近数万个。
该漏洞被跟踪为CVE-2019-16263,被描述为“Twitter Kit framework through 3.4.2 for IOS未正确验证api.twitter.com SSL证书”中的一个错误。尽管证书链必须包含一组固定证书中的一个,但存在某些实现错误,例如缺少主机名验证。”
twitter在2018年10月否决了twitter工具包库代码。当时,它要求开发人员切换到其他库。不过,fraunhofer sit移动安全主管jens heider表示,该公司在github存储库中留下了旧代码,但没有向用户表明这些代码可能用于攻击。
“Twitter Github库仍然包含恶意代码,”Heider告诉ThreatPost。“我们担心,由于使用代码的应用程序运行良好,开发人员将忽略将其应用程序更新到安全的Twitter库。”
海德说,虽然没有按名称单独列出具体的应用程序,但受影响的应用程序包括新闻阅读器和许多其他服务或应用程序,这些服务或应用程序允许用户通过其Twitter访问令牌登录:“如果攻击者能够访问(Twitter)OAuth令牌,他们就能够使用它向目标Twitter帐户发送消息,阅读过去的私人信息,喜欢并转发其他用户的推文。”
这个问题源于twitterkit for ios检查接收证书的方式,以确保它们具有相应的公钥。据twitter介绍,twitter kit是一个开源软件开发工具包(sdk),移动应用程序使用它来显示tweets、授权twitter用户并链接到twitter api。
“他们希望通过实现受信任的根证书颁发机构(ca)的公钥固定来提高安全性,如verisign、digicert和geotrust。因此他们为cas创建了一个包含21个公钥散列的数组,”研究人员在他们的研究摘要中写道。
他们解释说,leaf证书的域名不是由ios验证的。由于未经验证,任何带有公钥哈希的有效证书(属于21个)都会被易受攻击的应用程序接受。
研究人员写道:“一个拥有自己域的有效证书(由这些CA之一颁发)的攻击者可以使用该证书对中间人攻击应用程序,这些应用程序通过Twitter Kit for iOS与api.twitter.com通信。”
Heider说攻击者可以利用这个bug使用TwitterOAuth令牌登录到支持TwitterOAuth令牌框架的第三方服务。OAuth是一个开放的标准,用于授予网站或应用程序访问其他网站上的数据的权限,而不必给它们密码。
研究人员说,他们在2019年5月联系了Twitter,告知他们易受攻击的API。“Twitter承认这一发现,但由于图书馆已经被弃用,他们没有提供修复方案,”海德说。相反,twitter已经用更新版本替换了twitter api代码。
他说:“我们本想看到一些关于这个库中的缺陷的交流,这些缺陷被很多应用程序使用。”
twitter没有回应对这篇报道发表评论的请求。
研究人员说,为了利用这个漏洞,对手首先需要控制Wi-Fi接入点。接下来,受害者将登录到恶意无线网络,然后攻击者可以捕获用户会话的twitter oauth令牌。
攻击场景包括使用twitter oauth令牌访问主twitter帐户以及支持“使用twitter登录”功能的其他第三方帐户和服务的重放攻击。
“这样的问题是……常见的,这说明需要检查易受攻击或过时的第三方代码,”fraunhofer sit写道。
(内容来源于threatpost.com)