Une faille de securite sur l’application de rencontres Bumble aurait quitte l’emplacement et d’autres donnees de profil maints utilisateurs i l’occasion des six derniers mois. Cela fut rapporte par la societe de cybersecurite Independent Security Evaluators (ISE), qui affirme qu’en raison d’une vulnerabilite d’la plate-forme, «un attaquant va vider toute la base d’utilisateurs de Bumble avec des informations et des images de base, meme si l’attaquant est 1 utilisateur non verifie avec un compte verrouille. » Des chercheurs a egalement constate qu’une vulnerabilite sur la plate-forme permettait aux attaquants de contourner le paiement des fonctionnalites premium de Bumble.
Ils confirment qu’il n’y a aucune preuve que des precisions des utilisateurs ont ete compromises.
Bumble:
« Bumble a une collaboration de longue date avec HackerOne et le programme de bug bounty dans le cadre de notre pratique globale de cybersecurite, et ceci reste un nouvelle exemple de votre partenariat. Apres avoir ete alertes du probleme, nous avons ensuite commence le processus de correction en plusieurs phases qui comprenait la mise en place de controles Afin de abriter toutes les precisions utilisateur pendant la mise en ?uvre du correctif. Le probleme sous-jacent lie a la securite de l’utilisateur fut resolu et aucune donnee utilisateur n’a ete compromise. »
HackerOne:
« Notre divulgation des vulnerabilites est un criti?re vital d’une posture de securite de toute organisation. S’assurer que les vulnerabilites seront entre les mains des personnes qui peuvent nos corriger reste essentiel pour abriter les renseignements critiques. Bumble a une collaboration de longue date avec la communaute des hackers grace a son programme de bug bounty sur HackerOne . Correctement que le souci signale dans HackerOne ait ete resolu par l’equipe de securite de Bumble, les precisions divulguees au public comprennent des informations depassant de loin et cela leur avait ete initialement divulgue de maniere responsable. L’equipe de securite de Bumble travaille 24 heures sur 24 concernant s’assurer que tous les problemes de securite seront resolus promptement et a confirme qu’aucune donnee utilisateur n’avait ete compromise. »
Bumble fut informe une faille en mars, mais a compter du 1er novembre, aucun des problemes n’a ete corrige. Lors des nouveaux tests le 11 novembre, seuls des problemes ont ete juges attenues.
« Bumble n’utilise plus d’identifiants d’utilisateurs sequentiels et a foutu a jour son schema de chiffrement precedent. Ca signifie qu’un attaquant ne peut plus vider kasidie avis l’ensemble en base d’utilisateurs de Bumble avec l’attaque comme decrit ici. J’ai requi?te d’API ne fournit environ distance en miles – donc le suivi de l’emplacement via la triangulation n’est plus une possibilite en utilisant la reponse des donnees de cet endpoint », confirment les chercheurs.
tech2 a egalement contacte Bumble pour en savoir plus sur votre vulnerabilite. Nous n’avons toujours pas recu de reponse une agence.
Cependant, la societe de cybersecurite a decouvert qu’un attaquant va toujours choisir le point de terminaison Afin de obtenir des precisions telles que nos likes Facebook, des photos et d’autres informations de profil telles que des centres d’interet concernant les rencontres. Un utilisateur verrouille peut toujours acceder a toutes ces precisions.
Les chercheurs precisent principalement qu’apres que certains problemes ont ete attenues, des attaquants ne vont pas pouvoir desormais le Realiser que Afin de les identifiants cryptes qu’ils possedent deja.
Etant donne que les autres failles de securite ont ete recemment corrigees, Bumble se doit de egalement corriger les autres problemes de securite prochainement.
45secondes reste 1 nouveau media, n’hesitez gui?re a partager notre article sur les reseaux sociaux De sorte i nous donner un solide coup de pouce. ??