连锁餐厅App内藏数据库密码 客户信息可随意读取
报价宝综合消息连锁餐厅App内藏数据库密码 客户信息可随意读取
美国知名连锁餐厅Applebee's承认修复了一起严重的安全漏洞：其安卓应用的源代码中硬编码了一条客户数据库密码，任何拿到这条凭据的人都可以像授权用户一样登录公司的客户数据库。 漏洞由英国安全公司What Security的研究员Robert Wiggins在本月初发现。Applebee's的安卓应用在Google Play上的下载量超过一百万次，Wiggins借助AI从数千行源码中定位到了这条深藏的数据库凭据。将密码或私钥直接写进软件（即硬编码凭据）被认为是最严重的安全漏洞类型之一，因为任何持有应用的人都能提取密钥并登录远程系统，Wiggins指出，恶意攻击者甚至可以借此篡改数据库中的客户资料。 TechCrunch独立验证了这一发现：下载并反编译该安卓应用确认源码中确实存在暴露的凭据，随后用虚构信息注册了一个Applebee's账户，Wiggins得以从公司数据库中把这份测试资料完整取回。 被暴露的数据库字段相当敏感，包括客户姓名、电子邮箱（含邮箱是否已验证）、出生日期、电话号码和邮政编码，还涉及退伍军人身份、登录次数、账户创建时间以及最近一次登录的IP地址——后者足以推算出用户的大致地理位置。Applebee's去年透露其奖励计划会员至少有850万人，但公司拒绝说明此次事件究竟波及多少客户。 Wiggins一度无法向Applebee's或其母公司Dine Brands报告漏洞，因为两家公司都没有提供安全问题的报告渠道，他转而求助TechCrunch协助披露。Dine Brands发言人在周五的邮件声明中称：「我们感谢TechCrunch和安全研究员，安全团队已迅速展开调查，目前未发现任何未经授权访问的证据。」但当被问及公司是否保有可核查访问记录的服务器日志时，发言人拒绝回应，仅表示调查仍在进行中。TechCrunch也在确认漏洞修复后才发布报道，并就是否按要求向美国证券交易委员会披露此事发出询问，未获回复。 编译自 TechCrunch，原标题："Applebee's exposed customers' personal data after leaving database password in app"
美国知名连锁餐厅Applebee's承认修复了一起严重的安全漏洞：其安卓应用的源代码中硬编码了一条客户数据库密码，任何拿到这条凭据的人都可以像授权用户一样登录公司的客户数据库。 漏洞由英国安全公司What Security的研究员Robert Wiggins在本月初发现。Applebee's的安卓应用在Google Play上的下载量超过一百万次，Wiggins借助AI从数千行源码中定位到了这条深藏的数据库凭据。将密码或私钥直接写进软件（即硬编码凭据）被认为是最严重的安全漏洞类型之一，因为任何持有应用的人都能提取密钥并登录远程系统，Wiggins指出，恶意攻击者甚至可以借此篡改数据库中的客户资料。 TechCrunch独立验证了这一发现：下载并反编译该安卓应用确认源码中确实存在暴露的凭据，随后用虚构信息注册了一个Applebee's账户，Wiggins得以从公司数据库中把这份测试资料完整取回。 被暴露的数据库字段相当敏感，包括客户姓名、电子邮箱（含邮箱是否已验证）、出生日期、电话号码和邮政编码，还涉及退伍军人身份、登录次数、账户创建时间以及最近一次登录的IP地址——后者足以推算出用户的大致地理位置。Applebee's去年透露其奖励计划会员至少有850万人，但公司拒绝说明此次事件究竟波及多少客户。 Wiggins一度无法向Applebee's或其母公司Dine Brands报告漏洞，因为两家公司都没有提供安全问题的报告渠道，他转而求助TechCrunch协助披露。Dine Brands发言人在周五的邮件声明中称：「我们感谢TechCrunch和安全研究员，安全团队已迅速展开调查，目前未发现任何未经授权访问的证据。」但当被问及公司是否保有可核查访问记录的服务器日志时，发言人拒绝回应，仅表示调查仍在进行中。TechCrunch也在确认漏洞修复后才发布报道，并就是否按要求向美国证券交易委员会披露此事发出询问，未获回复。 编译自 TechCrunch，原标题："Applebee's exposed customers' personal data after leaving database password in app"
