BaseChat Android Uygulamasında Kritik Güvenlik Açıkları Bulundu

BaseChat, Flutter ile yapılmış bir sesli buluşma uygulaması. Fakat Android 9.8.1 sürümünde üç ciddi güvenlik açığı keşfedildi ve bunlar kullanıcı verilerini doğrudan tehdit ediyor.

İlk sorun TLS sertifika doğrulamasında. Uygulama, backend API'sine bağlanırken kendinden imzalı sertifikaları kabul ediyor ve standart güvenlik kontrolleri atlanıyor. Bu, ortadaki adam (man-in-the-middle) saldırılarına kapı açıyor. Saldırgan, ağ trafiğini dinleyerek kullanıcı verilerini ele geçirebilir.

İkinci açık, ödeme sistemiyle ilgili. Uygulamada kullanılan RevenueCat SDK, genel bir API anahtarı içeriyor. Aynı zamanda ödeme yapan kullanıcılar telefon numarası (MSISDN) ile RevenueCat veritabanında eşleştiriliyor. Telefon numaraları tahmin edilebilir olduğundan, saldırgan bu açık API anahtarını kullanarak herhangi bir telefon numarası için ödeme bilgisini sorgulayabiliyor.

Üçüncü açık da APK dosyasında gizli bilgilerin açık olarak saklanması. Uygulama içindeki anahtarlar ve konfigürasyonlar, APK'yı çıkartıp incelemek suretiyle kolayca okunabiliyor.

BaseChat kullananlar, özellikle ödeme yapmışlarsa, hesaplarını kontrol etmeli ve şüpheli etkinlikler için kredi kartı ekstresini izlemeli. Geliştirici tarafında ise TLS doğrulamasını düzeltmek, API anahtarlarını sunucu tarafına taşımak ve telefon numarası yerine benzersiz, tahmin edilemeyen tanımlayıcılar kullanmak gerekiyor. Mobil uygulamalarda bu tür hatalar kullanıcı gizliliğini yok edebilir.