CVE-2022-36539

안전하지 않은 직접 객체 참조(IDOR) WeDayCare B.V.

WeDayCare B.V Ouderapp v1.1.22 미만 버전에서 공격자가 가로챈 호출 내 ID 값을 변경하여 다른 부모 및 아동의 데이터에 접근할 수 있습니다.

API 트래픽은 Burp Suite와 같은 프록시를 통해 투명하게 노출됩니다. 인증 없이는 접근할 수 없지만, 인가(Authorization)는 적용되지 않은 것으로 보입니다. 이렇게 하면 내 자녀의 데이터뿐만 아니라 다른 자녀의 데이터도 요청할 수 있습니다. 이를 통해 GDPR에 정의된 대로 앱에서 처리되는 모든 가족의 개인 데이터를 완전히 볼 수 있습니다. 이를 위해 ID를 다른 자녀, 부모, 채팅 등의 ID로 변경하기만 하면 됩니다.

GET 요청

이전 요청에 대한 응답

ID 3586을 예를 들어 3576으로 변경하면

다른 사람의 자녀 데이터를 볼 수 있습니다

속도 제한(rate-limiting) 구현이 부족하여 유효한 ID를 무차별 대입(brute force)하는 것도 가능합니다.

이는 채팅, 아동 세부 정보 및 기타 기능에서도 작동합니다.

권고

개발자가 웹 애플리케이션 내 인증 부재를 수정했습니다. 모바일 사용자는 최신 버전의 모바일 앱으로 업데이트해야 합니다.