Zero
Un pubblico di database appartenendo a VOIPO che non è stato fissato correttamente ha esposto di tutto, dai registri delle chiamate al sistema interno di credenziali per il pubblico.
Questo mese, il Regista di Fiducia e Sicurezza a Cloudflare Justin Paine, che è anche il creatore dell’Arcobaleno Tabl.es blog di sicurezza, ha detto che una impropriamente fissati ElasticSearch database appartenenti alla Californiana voice over IP del provider di servizi è stato trovato tramite il Shodan motore di ricerca, che può essere utilizzato per trovare i dispositivi connessi a Internet e sistemi online.
Ci sono voluti solo una rapida indagine trovare un vasto tesoro di dati. Paine non solo scoperto VOIP registri delle chiamate, ma un SMS/MMS record, e plaintext interno del sistema di credenziali.
In totale, 6,7 milioni di documenti contenuti dei registri delle chiamate, anche parziale numeri originali, parziale numeri di destinazione, ora e durata della chiamata dettagli.
Il database conteneva anche sei milioni di SMS e MMS registri di tornare per il 2015, tra cui entrambi i timestamp e il contenuto dei messaggi.
Circa due milioni di registro documenti di riferimento hostname, in chiaro i nomi utente e le password e chiavi API per i sistemi interni. Un file di indice che contiene questa informazione è stata esposta dal giugno del 2018.
L’indice elencati di conferenza dei dispositivi utilizzati per il VOIP sessioni, con il dettaglio del dispositivo di indirizzi IP, indirizzi MAC, timestamp, e useragent valori per i dispositivi.
Per fortuna, la chiamata VOIP dati è stata almeno parzialmente rimosso prima di essere caricati nel database e quindi utilizzare queste informazioni per scopi dannosi sarebbe difficile. Il ricercatore non vedere tutto l’autenticazione a due fattori (2FA) i valori registrati con un SMS/MMS e dati, ma non è fuori del mondo di possibilità che questi dati sono trapelate.
Vedi anche: la Polizia non può costringere a sbloccare il telefono da iris, il viso o il dito
“Se un utente malintenzionato può accedere a questi dati, come parte di un attacco mirato su un individuo o organizzazione che ha saputo utilizzare questo servizio, essi sarebbero stati in grado di osservare in tempo reale gli SMS inviati che conteneva il 2FA codice”, Paine ha detto. “Ipoteticamente questo potrebbe hanno poi permesso all’attaccante di bypass 2FA sull’account dell’utente.”
L’esposizione di informazioni interne, tuttavia, è più grave. Questo potrebbe aver portato a termine compromesso di qualsiasi sistema che hanno utilizzato le credenziali, dando gli aggressori di accedere alle informazioni aziendali sensibili.
TechRepublic: Smart building falle di sicurezza lasciano le scuole, gli ospedali a rischio
Open ElasticSearch database è stato scoperto l ‘ 8 gennaio ed è stato segnalato all’amministratore delegato di VOIPO il giorno stesso. L’azienda si è spostato rapidamente per proteggere il database e ha preso il sistema offline entro un paio di ore.
VOIPO ha detto che il server è stato utilizzato per scopi di sviluppo e ha accidentalmente lasciato online. Tuttavia, la società ha ammesso che “dati validi” era stato contenute nel database, anche se non ha specificato quali dati, in particolare, è stata la vera informazione acquisita dalla produzione e dei servizi.
CNET: FCC Ajit Pai non soddisfano Congresso sul telefono-tracking scandalo
“Vorrei ipotizzare che le credenziali sono state probabile produzione credenziali”, il ricercatore ha detto. “Si è visto anche che gli SMS/MMS e telefono VOIP registri apparso probabile che sia i dati di produzione.”
ZDNet ha raggiunto VOIPO.com e sarà aggiornato se sentiamo di ritorno.
Precedente e relativa copertura
GoDaddy rimuove JavaScript injection che traccia la performance del sito web, ma si potrebbe rompere troppo
Fortnite è utilizzato da criminali per riciclare il denaro attraverso il V-Bucks
Cryptopia cryptocurrency scambio tirato offline a causa di violazione della sicurezza
Argomenti Correlati:
Di sicurezza, TV
La Gestione Dei Dati
CXO
Centri Dati
0