Violation of secure design principles
Last updated
Last updated
L'application possédait une fonctionnalité permettant d'envoyer un SMS à un numéro de téléphone donné redirigeant vers un lien spécifique n'étant normalement pas géré par l'utilisateur. Cependant, cette fonctionnalité souffrait d'un défaut de conception permettant à un utilisateur d'intercepter et modifier le contenu du message envoyé via le paramètre json "message".
J'ai intercepté la requête d'envoie du SMS.
J'ai modifié le paramètre "message".
J'ai ennvoyé la requête et constaté que je pouvais envoyer n'importe quel message à n'importe quel numéro de téléphone.
Bonus: Le tableau json utilisé dans la requête permettait d'envoyer le message à une multitude de numéros de téléphone en une seule requête.
Les risques dans ce contexte sont:
L'utilisation de l'application comme outil de smishing (phishing par SMS) par un acteur malveillant. (avec possibilité de faire des campagnes en masse via le tableau json)
La perte financière liée à l'envoie de SMS en masse.
L'impact business lié à un potentiel blacklistage des numéros de téléphone de l'entreprise.
