Datenpanne bei Gebets-App: Sicherheitslücke in "Gottes Tech-Stack" aufgedeckt
Eine unter dem Namen BobDaHacker bekannte Sicherheitsforscherin hat eine Datenpanne bei der offiziellen Gebets-App des Papstes aufgedeckt. Laut Blogbeitrag der Forscherin(öffnet im neuen Fenster) waren dadurch persönliche Daten der über 700.000 Nutzer der App frei abrufbar. Die Sicherheitslücke ist inzwischen geschlossen – allerdings erst über ein halbes Jahr nach Meldung und ersten Medienberichten über den Fund.
Laut BobDaHacker wurde die Gebets-App des Papstes 2019 veröffentlicht. Die App ist für Android(öffnet im neuen Fenster) und iOS(öffnet im neuen Fenster) verfügbar und ermöglicht es ihren Nutzern, sich dem Gebetsnetzwerk des Papstes anzuschließen, Gebetsanliegen zu teilen und gemeinsam zu beten. Auch die zugehörige Website unter clicktopray.org(öffnet im neuen Fenster) bietet Nutzern einen Zugang zu dem Netzwerk.
"Es handelt sich um ein päpstliches Werk. Das ist vatikanische Infrastruktur. Gottes Tech-Stack, wenn man so will", erklärt die Forscherin. Dennoch scheint auch diese App nicht frei von Sünde zu sein. BobDaHacker fand Anfang Januar eine Sicherheitslücke, mit der sie persönliche Daten aller 719.517 registrierten Nutzer auslesen konnte.
Datenabruf durch Hochzählen
Ursache war den Angaben zufolge ein ungeschützter API-Endpunkt. Diesem musste nur eine Nutzer-ID übergeben werden. Die IDs sind aber laut BobDaHacker lediglich fortlaufende Nummern, so dass ein Angreifer mit einer Programmierschleife leicht alle Nutzer-IDs durchgehen konnte.
Als Antwort lieferte der Endpunkt jeweils Daten wie Name, E-Mail-Adresse, Land, Geburtsdatum, die Nutzerrolle sowie eine Info, ob der jeweilige Account gelöscht wurde. Eine Authentifizierung war für die Abfrage wohl nicht erforderlich.
Hinzu kam aber noch ein zweites Sicherheitsproblem, welches schon bei der Registrierung neuer Nutzer auftrat. Die Gebets-App verschickte dabei E-Mails mit Verifizierungslinks. Jedoch unterschieden sich diese Mails lediglich durch einen Hash, den der bei der Registrierung aufgerufene API-Endpunkt schon vorab zurücklieferte.
Folglich hätte ein Angreifer leicht Nutzerkonten mit E-Mail-Adressen fremder Personen registrieren und den Verifizierungslink anschließend selber zusammenbasteln können, um die Registrierung ohne Zugriff auf das E-Mail-Postfach der Zielperson zu bestätigen. "Eine Art glaubensbasierte E-Mail-Verifizierung, wenn man so will", so die Forscherin.
Ein halbes Jahr ohne Reaktion
BobDaHacker hat ihre Funde nach eigenen Angaben schon am 3. Januar gemeldet – und das an neun verschiedene Mitarbeiter bei Click to Pray und beim Gebetsnetzwerk des Papstes. Innerhalb eines halben Jahres soll jedoch niemand auf ihre Meldung geantwortet haben. Erst nachdem das Nachrichtenportal Dark Reading am 24. Juli über den Fall berichtete(öffnet im neuen Fenster), gab es eine Reaktion. Eine Antwort kam zwar weiterhin nicht, immerhin soll das Problem dann aber stillschweigend behoben worden sein.
BobDaHacker ist schon mehrfach durch Security-Funde aufgefallen. Im Juni wies die Forscherin beispielsweise auf Sicherheitsprobleme bei einem Streamingportal der Fifa hin. Im vergangenen Jahr demonstrierte sie zudem mögliche Angriffe auf ein Webportal von McDonalds und warnte vor einem Datenleck bei einer App für Sexspielzeuge.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.