Shazam中的漏洞于2019年被发现，但其详细信息仅在上周才披露。

在电视上找不到那首歌的名字是什么？您知道谁会帮忙– Shazam。不过，最近在流行的应用程序中发现了一个漏洞，该漏洞可能使恶意行为者知道受害者的位置。

该漏洞当时影响了超过1亿用户，有可能损害这些用户的物理安全性，从而标志着其严重性。

称为 CVE-2019-8791 和 CVE-2019-8792 ; 该漏洞是由英国IT安全研究员Ashley King发现的。值得注意的是，该问题也早在2018年就已发现，此后于同年12月向公司报告。

然而，由于Shazam当时被苹果收购，因此Ashley被要求与Apple共同处理该问题，导致该缺陷最终于2019年3月26日在iOS和Android上得到修复，而没有得到任何回报。

谈到该漏洞，它的工作原理是攻击者可以将恶意链接发送给其预期的受害者。如果受害者打开了它，这将自动打开Shazam应用并执行恶意软件，从而将受害者的位置数据发送给攻击者。

在解释可以使用哪种类型的链接的技术性之后，研究人员在博客文章中指出：

“Shazam在整个应用程序中使用深层链接作为其导航的一部分。我发现一个特定的导出的深层链接（负责在Webview中加载网站）无法验证其参数，从而可以控制外部资源。

该网络视图包括一些javascript界面，这些界面允许内容与Android和iOS API进行通信，从而可以拉回特定于设备的信息和用户的最后已知精确位置。”

总而言之，根据Ashley的说法， 尽管已对其进行了修补，但Google Play安全奖励计划 和Apple本身当时都认为该漏洞不够严重。

这只是向我们显示了网络安全社区与围栏另一头的人之间可能存在的优先级差异。将来，我们可能会继续了解企业如何看待用户隐私。

（来源：HackRead）