Une faille de sécurité menace l’application Go SMS Pro, des millions de photos privées dans la nature

Go SMS Pro, l'application aux 100 millions de téléchargements, possède une faille de sécurité qui rend possible l'accès à des millions de photos et fichiers par n'importe qui. Celle-ci génère un lien de téléchargement lorsqu'un utilisateur envoie un fichier à un contact n'étant pas sur l'application. Il suffit de connaître ce lien pour accéder au contenu du message. La faille a été découverte sur Go SMS Pro 7.91 mais pourrait bien exister sur d'autres versions.

L'une des applis de messagerie les plus populaires du monde possède une immense faille de sécurité. Découverte en août par des chercheurs en sécurité chez TrustWave, celle-ci ne semble toujours pas avoir été résolue, alors qu'elle permet à n'importe d'accéder à des millions de photos et fichier privés. Pour ce faire, il suffit de posséder le lien généré par l'application aux 100 millions d'utilisateurs.

En effet, lorsque l'on envoie un fichier à un contact ne possédant pas l'application, celle-ci le télécharge sur ses serveurs et partage une URL publique pour y accéder. En réalité, un lien est généré dès qu'un fichier est partagé. Or, aucune mesure de sécurité n'est appliquée sur ces URL, qui sont donc accessibles par tout le monde. Pire, celles-ci ne seraient pas exactement générées aléatoirement, et seraient donc prévisibles.

À lire également : Android – une énorme faille Bluetooth permet d’espionner SMS et appels sur des millions de smartphones

N'importe qui peut accéder à des millions de photos d'utilisateurs de Go SMS Pro

Aucune autorisation ou authentification n'est nécessaire pour accéder au contenu du lien. Concrètement, n'importe qui ayant intercepté l'URL ou l'ayant acquise d'une quelconque manière pourra récupérer le contenu partagé. Bien qu'il ne soit théoriquement pas possible de cibler un utilisateur en particulier, il est possible de “créer un script capable de recherche à travers le net tous les fichiers stockés dans le cloud”, selon Trustwave.

Les chercheurs ont rapporté avoir ainsi pu consulter des numéros de téléphone, des coordonnées bancaires ou encore des photos à caractère explicite. Pour l'heure, la faille n'a été confirmée que sur la version 7.91 de l'application, mais il est possible qu'elle soit présente également sur des versions antérieures. Pour l'heure, Go SMS Pro n'a pas déclaré travailler sur une solution. Avec les données de 73 millions d’internautes déjà en vente sur le dark web, il est donc plus que nécessaire d'être prudent quant au contenu partagé en ligne.

Source : TrustWave