Een beveiligingsfout waardoor je iemands account kon overnemen door diens mailadres te raden, is uit de datingapp gehaald nadat ze werd gerapporteerd.
Grindr, de dating-app voor LGBTQ+, heeft een beveiligingsfout gepatcht die het mogelijk maakte om iemands account over te nemen door diens mailadres te raden. Het gaat om een ontstellend zware kwetsbaarheid, die werd gevonden door de Franse onderzoeker Wassime Bouimadaghene.
Hij rapporteerde de bug maar kreeg geen gehoor, tot hij zijn bevindingen ook aan de iets bekender beveiligingsexpert Troy Hunt uitlegde, die er een blog over schreef. Het probleem zou ondertussen verholpen zijn.
De bug in kwestie zat in het systeem om je wachtwoord te resetten. Doe je dat in Grindr, dan krijg je een e-mail. De link daarin bevat een token om je wachtwoord te resetten. Dat is een systeem dat veel sites gebruiken. Alleen lekt de resetpagina in Grindr die token ook naar de browser. Zo zou je dus naar die pagina kunnen gaan en iemands mailadres ingeven, en mits een beetje html-kennis het token kunnen oppikken. Plak dat in de url en je kan zelf een wachtwoord voor de account kiezen, die op die manier effectief onder jouw controle staat.
Data van dating-apps liggen al gevoelig, maar Grindr is vooral gekend als app voor holebi’s en bevat dus het soort informatie waarvoor mensen al eens aangevallen of gechanteerd worden. De Chinese eigenaars van de app werden begin dit jaar gedwongen om ze te verkopen, omdat kennis over geaardheid van Amerikaanse burgers in Chinese handen een beveiligingsrisico zou vormen. Dit betekent echter niet dat de app geen bijzonder grove beveiligingsfouten kan maken.
Fout opgemerkt of meer nieuws? Meld het hier