Mensagens anteriores

Os utilizadores da aplicação de encontros Grindr estão a ser alertados para uma nova vulnerabilidade descoberta sobre a app do serviço, na qual poderia ser possível aceder a qualquer conta na plataforma.

Esta falha foi descoberta pelo investigador de segurança Wassime Bouimadaghene, que reportou inicialmente a falha à empresa, mas após ter sido ignorado pela mesma foi divulgada com o apoio de Troy Hunt – do portal HIBP.

De acordo com o investigador, os atacantes apenas necessitavam de saber o email da conta que pretendia atacar, sendo que a partir dai poderia aceder de forma completa a todos os dados da mesma – incluindo verificar as mensagens partilhadas e outros conteúdos.

A falha encontrava-se na forma como a aplicação permitia recuperar a senha dos utilizadores. Normalmente o reset da senha é feito através de um link único enviado para os emails dos utilizadores, o qual necessita de ser acedido para fazer o reset da senha.

No entanto, foi descoberto que a página de reset da senha do portal estaria a divulgar publicamente o token necessário para que qualquer um pudesse realizar o reset da senha. Ou seja, os utilizadores nem necessitavam de receber o email, já que a alteração podia ser feita diretamente do site da empresa.

A Grindr afirma que a falha foi descoberta antes de ser usada para atividades maliciosas, e encontra-se atualmente corrigida. No entanto, o investigador afirma que essa medida apenas foi tomada depois de a falha ter sido ignorada inicialmente.

Apenas quando chegou a confirmação de um investigador de renome que alertou para o facto é que a empresa aplicou medidas concretas de resolver o problema.