안드로이드 데이팅 앱 BaseChat, 버전 9.8.1에서 여러 취약점이 발견되었습니다. 이러한 문제들은 사용자 개인 정보 보호 및 데이터 보안에 심각한 위험을 초래합니다. 한 가지 취약점은 백엔드 API 연결에 대해 자체 서명된 인증서를 수락함으로써 공격자가 TLS 보안 검사를 우회할 수 있도록 합니다. 또 다른 문제는 유료 계정을 RevenueCat 구독자 데이터베이스에 매핑하기 위해 원시 MSISDN, 즉 전화 번호를 사용하는 것입니다. RevenueCat에 대한 공개 API 키가 앱에 내장되어 있기 때문에 공격자는 추측된 전화 번호를 사용하여 이 데이터베이스를 쿼리할 수 있습니다. 이를 통해 활동 및 구매 기록을 포함한 사용자 메타데이터를 검색할 수 있습니다. 또한 이 애플리케이션은 프로덕션 빌드에 개인 식별 정보(PII)를 기록합니다. 구체적으로, 스트립되지 않은 디버그 문을 통해 음성 통화 중에 다른 발신자의 전화 번호를 기록합니다. 이러한 취약점은 악용될 경우 계정 탈취, 세션 자격 증명 도난 및 개인 사용자 데이터 노출로 이어질 수 있습니다. 공격자는 익명으로 유지되어야 하는 다른 사용자의 PII에도 액세스할 수 있습니다. 앱이 다른 사용자의 전화 번호를 어떤 형태로든 클라이언트로 보내는 것은 개인 정보 침해로 간주됩니다. BaseChat 개발자는 이러한 취약점을 해결하기 위해 연락할 수 없었습니다.