Une faille de securite sur l’application de rencontres Bumble aurait quitte l’emplacement et d’autres donnees de profil de multiples utilisateurs i l’occasion des six derniers mois. Ca a ete rapporte par la societe de cybersecurite Independent Security Evaluators (ISE), qui affirme qu’en raison d’une vulnerabilite d’une plate-forme, «un attaquant va vider toute la base d’utilisateurs de Bumble avec des informations et des images de base, meme si l’attaquant est 1 utilisateur non verifie avec votre compte verrouille. » Des chercheurs a egalement constate qu’une vulnerabilite via la plate-forme permettait aux attaquants de contourner 
le paiement des fonctionnalites premium de Bumble.
Ils confirment qu’il n’y a aucune preuve que des donnees des utilisateurs ont ete compromises.
Bumble:
« Bumble a une collaboration de longue date avec HackerOne et son programme de bug bounty au cadre de notre pratique globale de cybersecurite, et ceci reste 1 nouvelle exemple de ce partenariat. Apres avoir ete alertes du probleme, nous avons ensuite commence le processus de correction en plusieurs phases qui comprenait la mise en place de controles Afin de couvrir l’integralite des donnees utilisateur pendant la mise en ?uvre du correctif. Le probleme sous-jacent lie a la securite de l’utilisateur fut resolu et aucune donnee utilisateur n’a ete compromise. »
HackerOne:
« La divulgation des vulnerabilites est un criti?re vital d’la posture de securite de toute organisation. S’assurer que les vulnerabilites seront entre les mains des individus qui peuvent les corriger est essentiel pour couvrir des renseignements critiques. Bumble a une collaboration de longue date avec la communaute des hackers grace a le programme de bug bounty dans HackerOne . Correctement que le souci signale concernant HackerOne ait ete resolu par l’equipe de securite de Bumble, les informations divulguees au public comprennent des informations depassant de loin ce qui leur avait ete initialement divulgue de maniere responsable. L’equipe de securite de Bumble travaille 24 heures sur 24 pour s’assurer que tous les problemes de securite paraissent resolus rapidement et a confirme qu’aucune donnee utilisateur n’avait ete compromise. »
Bumble a ete informe en faille en mars, mais a compter du 1er novembre, aucun des problemes n’a ete corrige. Lors des nouveaux tests le 11 novembre, seuls plusieurs problemes ont ete juges attenues.
« Bumble n’utilise plus d’identifiants d’utilisateurs sequentiels et a mis a jour son schema de chiffrement precedent. Ca signifie qu’un attaquant ne peut plus vider l’ensemble de la base d’utilisateurs de Bumble avec l’attaque tel decrit ici. Notre requi?te d’API ne fournit environ distance en miles – donc le suivi de l’emplacement via la triangulation n’est plus une possibilite en utilisant la reponse des donnees de cet endpoint », confirment nos chercheurs.
tech2 a egalement contacte Bumble pour en savoir plus sur ma vulnerabilite. Nous n’avons toujours pas recu de reponse d’une agence.
Cependant, la societe de cybersecurite a decouvert qu’un attaquant va i chaque fois utiliser le point de terminaison pour obtenir des precisions telles que des likes Facebook, des photos et d’autres precisions de profil telles que des centres d’interet concernant les rencontres. Un utilisateur verrouille peut toujours acceder a l’ensemble de ces informations.
Mes chercheurs precisent principalement qu’apres que plusieurs problemes ont ete attenues, nos attaquants ne vont pas pouvoir desormais le faire que pour nos identifiants cryptes qu’ils possedent deja.
Etant donne que des autres failles de securite ont ete recemment corrigees, Bumble doit egalement corriger les autres problemes de securite prochainement.
45secondes est votre nouveau media, n’hesitez pas a partager notre article sur les reseaux sociaux afin de nous donner un solide coup de pouce. ??