KakaoTalk'ta tek tıkla exploit
(stulle123.github.io)KakaoTalk'un deep link doğrulama sorunu nedeniyle uzaktaki bir saldırgan, WebView içinde rastgele JavaScript çalıştırarak HTTP istek başlıklarındaki erişim token'ını sızdırabilir. Sonuç olarak bu token, saldırganın kontrol ettiği bir cihazı kaydederek başka kullanıcıların hesaplarını ele geçirmek ve sohbet mesajlarını okumak için kullanılabilir. Bu hata CVE-2023-51219 olarak tanımlandı. Ayrıca, diğer güvenlik araştırmacılarının KakaoTalk'un geniş saldırı yüzeyini inceleyip daha fazla hata bulabilmesi için araçlar da yayımlanıyor.
15 yorum
https://github.com/stulle123/kakaotalk_analysis/…
Kakao ile karşılıklı yazışılan içerik bu.
Görünüşe göre içeriğin başı son mektup gibi.
Açığı kamuya açık şekilde açıklamayı tercih etmiyorum ama madem sen yayımlıyorsun, Kakao’nun kimlik bilgilerini gizleyip paylaşırsan iyi olur...
2023-12-13 06:37
Tekrar merhaba,
Öncelikle, blog yazısı yayımlamamanızı rica ediyoruz. Kakao’nun bug bounty programı temel olarak bilgi gizliliğine dayandığı için, güvenlik açığına ilişkin bilgiler düzeltilip düzeltilmediğinden bağımsız olarak kamuya açıklanamaz.
İkinci olarak, CVE ID talebinde bulunmayı planlamıyoruz.
Hayal kırıklığına uğrayabileceğinizi anlıyoruz, ancak bu bizim politikamız olduğu için elimizden bir şey gelmiyor. Kişisel olarak ben de bundan dolayı çok üzgünüm.
Anlayışınız için teşekkür ederiz.
2023-12-13 13:22
Merhaba!
Sorunu ne zamana kadar çözmeyi planladığınızı paylaşabilir misiniz?
Bir sonraki KakaoTalk sürümüyle birlikte mi?
Teşekkürler
2024-01-02 15:44
Mutlu yıllar!
Bu konuyla ilgili yeni bir gelişme var mı?
Güvenlik açığı en güncel KakaoTalk sürümünde yamalandı mı?
Teşekkürler
2024-01-03 02:16
Merhaba,
Biz Kakao güvenlik ekibiyiz.
Bu güvenlik açığına yönelik çalışma hâlâ devam ediyor.
Bilginize sunarız.
CommerceBuyActivity
2024 Şubat ayından önce yamalanması planlanıyor.
m.shoppinghow.kakao.com
Gerekli işlem tamamlandı.
Kakao mail hesabı
Gerekli işlem görüşülüyor.
Teşekkürler,
Kakao güvenlik ekibi
2024-01-08 20:47
Merhaba Kakao güvenlik ekibi,
Yanıtınız için teşekkürler.
Bug bounty programınızla ilgili bir geri bildirim paylaşmak istiyorum:
Ödülü yalnızca Kore vatandaşlarıyla sınırlamanın şirketiniz için çok riskli olduğunu düşünüyorum.
Bu nedenle uluslararası güvenlik araştırmacıları güvenlik açıklarını doğrudan size bildirmek yerine başka sorumsuz açıklama biçimlerine (yeraltı forumları, kara borsa vb.) yönelebilir.
2024-01-09 02:06
Değerli geri bildiriminiz için çok teşekkür ederiz. Kullanıcılarımızın önerilerini ciddiyetle ele alıyor ve hizmetimizi sürekli geliştirmek için elimizden geleni yapıyoruz. Geri bildiriminiz ekibimiz tarafından ayrıntılı biçimde incelenecek ve gelecekteki iyileştirmelere yansıtılacaktır.
Bereketli ve mutlu bir yeni yıl dileriz!
2024-01-28 16:57
Merhaba!
Bir güncelleme var mı? Güvenlik açığı giderildi mi?
Teşekkürler,stullenfoo
2024-01-29 03:28
Merhaba.
Öncelikle, sürekli ilginiz için teşekkür ederiz.
Şu anda bu güvenlik açığını gidermeye çalışıyoruz ve Şubat ayı içinde çözüleceğini öngörüyoruz. Ek bilgiye ya da yardıma ihtiyacınız olursa lütfen bize bildirin.
Teşekkürler,
2024-02-18 12:47
Merhaba,
Bir güncelleme var mı?
https://buy.kako.com çevrimdışı durumda ve https://m.shoppinghow.kakao.com/m/product/…;%3E bağlantısının artık çift tırnakları encode ettiğini fark ettim. Bu yüzden XSS açığının düzeltilmiş olduğunu varsayıyorum.
Android uygulaması da düzeltildi mi?
Teşekkürler,
2024-03-12 12:14
Tekrar merhaba,
Android uygulamasında kalan hataları da düzelttiniz mi?
Teşekkürler,
stullenfoo
2024-03-14 02:08
Merhaba,
Android KakaoTalk’taki sorun giderildi ve düzeltme 1.9.0 sürümüne dahil edildi. Sürekli ilginiz ve desteğiniz için teşekkür ederiz.
2024-03-14 11:14
Merhaba,
Harika haber!
Sorun çözüldüğüne göre, bununla ilgili bir blog yazısı yayımlamayı planladığımı bildirmek isterim.
Blog yazısı yayımlanmasıyla ilgili olarak, Madde 18’deki bu münhasır çözüm yolu, ödül almadığım için buna izin veriyor:
⑤ "Üye", gizlilik yükümlülüğüne ilişkin onayı reddedebilir. Ancak bu durumda "Program"ın kullanımı mümkün değildir.
Ayrıca, hizmet şartlarında belirtildiği gibi bu program yalnızca Koreliler için geçerlidir ve fiilen ben Kore vatandaşı değilim.
Blog yazısını çevrimiçi yayımlamadan önce sizinle paylaşacağım.
2024-03-15 03:06
Öncelikle, mükemmel raporunuz ve sürekli katılımınız için içtenlikle teşekkür ederiz.
Biz güvenlik açıklarının kamuya açık şekilde ifşa edilmemesini tercih ediyoruz, ancak sizin bakış açınıza saygı duyuyor ve buna değer veriyoruz.
Bu konuda bir blog yazısı yazmaya karar verirseniz, şirketimizin kimliğini ortaya çıkarabilecek bilgileri sansürlemenizi rica ediyoruz.
Teşekkürler.
Güney Kore'nin en büyük mobil sohbet uygulamasında keşfedilen 1 tıklamalı exploit
GN+'ın çevrilmiş özetine de birlikte göz atın.
Acaba içerik düzenleme özelliği yok mu?
Çeviri biraz tuhaf olmuş; eklediğiniz bağlantıyı eklemek istiyorum ama bunu nasıl düzenleyeceğimi bulamıyorum.
Ne yazık ki.. düzenleme özelliği yok. Muhtemelen bakanlar onu ilgili linkle birlikte görecektir ^^;;
> Ödülü yalnızca Koreliler alabildiği için biz hiçbir ödül alamadık.
İyi bir iş yapmışken bir de eleştiri alabilecek bir açık kapı bırakmışlar. Üzücü.
İyi olan şey = güvenlik açığını bildiren yabancı
Eleştirilecek şey = güvenlik açığını bildiren yabancının, ödülün yalnızca Koreliler tarafından alınabileceğini söyleyen yazı
Bu doğru mu??
Ben bunu şöyle anlıyorum:
İyi olan taraf: Açığı bildiren kişiye ödül verilmesi
Tepki çekebilecek taraf: Bunun yalnızca Korelilere verilecek şekilde sınırlandırılmış olması
Orijinal yorumun tonu, bunun övülecek bir şey olduğu şeklinde okunuyor; ancak kötü olan şey ödülün (ya da küçük bir karşılığın) verilmemesi, verilmesinin övülecek bir şey olup olmadığı... diye düşünüyorum.
İyi bir iş yapıp eleştirilen taraf kim; ihbarda bulunan kişi mi yoksa Kakao mu?
Suçlanacak birine açık kapı bırakanın kim olduğunu pek anlayamadım.
> Bu zafiyeti Kakao'nun bug bounty programı üzerinden Aralık 2023'te bildirdik. Ancak ödül yalnızca Kore vatandaşlarına verilebildiği için herhangi bir ödeme alamadık🤯
> Kakao, acil bir düzeltme olarak https://buy.kakao.com adresini kapattı ve
/auth/0/cleanFrontRedirect?returnUrl=yönlendirmesini kaldırdı.Eyvah
• Ödülün alınması için gerekli banka hesabı, yurt içindeki bir bankadan açılmış olmalı ve yalnızca “üye”nin kendi adına kayıtlı hesapla sınırlıdır.
• Yurt içinde veya dışında yaşayan bir Kore vatandaşı olunmalıdır; ekonomik yaptırım uygulanan ülkelerde ikamet edilmesi durumunda ödül ödemesi reddedilebilir.
Ödül programı tamamen yalnızca Korelilere yönelik görünüyor.
Nihai ödül üst sınırı 10 milyon won olarak belirlenmiş; Kakao gibi bir şirket için biraz daha cömert olabilirlerdi, bu yüzden oldukça hayal kırıklığı yaratıyor.
https://github.com/stulle123/kakaotalk_analysis/…
Bunu keşfeden kişinin yaptığı bir başvuru gibi görünüyor; ödül politikası da dahil olmak üzere ilgili sürecin ele alınışında biraz hayal kırıklığı var gibi duruyor...