Bite par atbildīgu DoS ievainojamības atklāšanu pateicas ar balvu

Kategorija: Incidenti

Izrādās, ka es varu savu numuru pievienot vairākas reizes. Tieši cik? Nav ne jausmas, bet varu daudzas.. Par katru pievienošanas reizi man pienāk SMS. Interesanti! Pačekojam MITMProxy, kas līdz šim strādāja konsolē – redzam gan pieprasījumu, gan atbildi. Nu atliek tikai to noklonēt (protams, pamainot target phone number) un varam spamot.

Par šo drošības caurumu tika paziņots Bitei uzreiz pēc tā atklāšanas. Atbildes zvanu no PR cilvēka saņēmu dienas laikā un pēc pāris dienām arī no tehniķiem (lietuviešiem). Visu kļūdas labošanas laiku Bites PR cilvēks mani paturēja informētu par viņu progresu – cepuri nost. Pāris dienas pēc pirmā zvana saņēmu arī paciņu no Bites – saldumus, tēju un portable chargeri telefonam (ķīnietis). Mēnesi vēlāk caurums bija salabots un ar mani atkal sazinājās Bites PR cilvēks, lai pateiktos un kā bounty piedāvātu bezmaksas pieslēgumu + 2GB internetu gadu Bites tīklā. Jauki no viņu puses, bet esmu vīlies. Manuprāt, šis caurums bija vērts daudz vairāk.

Šis drošības caurums ir salabots un vairs nestrādā. Tagad limits ir 20 SMS no 1 IP adreses.

Uzslavējama Bites attieksme. Jācer gan, ka pēc šī gadījuma Bite netiks pārpludināta ar sīkurķu atklājumiem par (D)DoS vektoriem, kurus līdz galam nemaz nav iespējams novērst.

Avoti:
Matīss Jānis Āboltiņš: http://blog.mja.lv/bite-sms-hack/

Follow defenselv

2014-09-09  »  edgars