Anonimowo można było namierzać lokalizację niemal wszystkich telefonów komórkowych w USA

Brian Krebs donosi o podatności w API firmy LocationSmart:

 it could be used to reveal the location of any AT&T, Sprint, T-Mobile or Verizon phone in the United States to an accuracy of within a few hundred yards.

Sam autor znaleziska pisze wręcz o możliwości namierzania w czasie rzeczywistym lokalizacji „wszystkich” telefonów komórkowych w USA:

I found a vulnerability in the LocationSmart website which allowed anyone, with no prior authentication or consent, to obtain the realtime location of any cellphone in the US to within a few hundred feet.

Firma jeszcze wczoraj udostępniała demo, umożliwiające zlokalizowanie swojego telefonu (na komórkę przychodził odpowiedni kod autoryzujący, którego podanie dopiero umożliwiało poznanie lokalizacji). Ale odwołując się do API LocationSmart można było… poznać lokalizację dowolnego telefonu bez potwierdzenia zgody. Istotą problemu było brak sprawdzania uprawnień w momencie, kiedy poprosiliśmy API o odpowiedź w JSON (a nie w domyślnym XML-u).

Dla bardziej dociekliwych, wystarczyły dwa requesty HTTP. Jeden aby pobrać token:

requestdata={"deviceType":"Wireless","deviceID":"NUMBER","devicedetails":"true","carrierReq":"true"}&requesttype=statusreq.json

A drugi żeby poznać lokalizację telefonu:

requestdata={"civicAddressReq":"True","geoAddressReq":"True","extAddressReq":"True",
"nearbyPoiReq":"True","privacyConsent":"True","token":"TOKEN","locationtype":"network",
"accuracyReq":"Coarse","tnDetailReq":"False","carrierReq":"true"}&requesttype=locreq.json

Nie trzeba tu dodawać, że requesty nie wymagają uwierzytelnienia, można się tylko zastnawiać jakim cudem LocationService posiada(ł) lokalizacje telefonów komórkowych w czasie rzeczywistym… Szef firmy LocationSmart stwierdza krótko:

We make it available for legitimate and authorized purposes.

–ms