Instagrams säkerhetsbricka gör det möjligt för angripare att radera foton och ta över konton

Instagram kan ha blivit den mest populära och mest använda bilddelningsprogrammet för både iOS- och Android-plattformar, men precis som alla andra appar är det inte perfekt. Faktum är att ett nytt smutthål har upptäckts nyligen. Enligt experter kan den nya Instagram-säkerhetsfelet tillåta angripare att radera foton eller till och med ta över konton. Smutthålet upptäcktes i Instagram version 3.1.2 som körs på en iOS-enhet.

Instagram API använder både HTTP och HTTPS-anslutningar för att skicka förfrågningar och data. Känslig information som profilredigeringsdata och inloggningsuppgifter skickas ofta via HTTPS eftersom det är en säker kanal. Men det har nyligen upptäckts av folk på reventlov.com att vissa data faktiskt skickas med den andra kanalen som gör de utsatta för exploatering av vissa angripare som kanske har känt smuthullet.

Om data skickas via HTTP-kanal krävs den enda autentiseringsformen som en standardkaka som ofta skickas utan kryptering varje gång en användare startar Instagram-appen. Attackers som kan vara på samma nätverk som med iPhone eller iPad kan ha möjlighet att fånga upp data genom en enkel arpspoofing-attack och kan utnyttja informationen enligt deras önskemål. Om det händer och angripare kan kunna verifiera med hjälp av avlyssnade uppgifter, har de redan en ultimat åtkomst till kontot och de kan ändra inloggningsuppgifter när som helst eller ta bort bilder.

De som upptäckte felet gjorde det offentligt den 10 november och de kontaktade Instagram om det en dag senare men allt de fick var ett automatiskt svar. Fram till nu kan det här problemet fortfarande vara igång så att iOS-enheter som använder Instagram oftere bör använda HTTPS-kanal de flesta gånger, eller aldrig bara använda någon öppen WiFi-åtkomstpunkt.

Problemet kan bara handla om Instagram, men oftare vet angripare precis vad som ska vara för att kunna få tillgång till andra konton, inklusive Facebook, Twitter och även e-post. Försiktighetsåtgärder bör vidtas särskilt av personer som kan lagra vissa känsliga uppgifter på sina enheter.

[källa: Reventlov]