Подслушиваем за пользователями JioChat

Интересная особенность в реализации протокола SDP позволяла получить аудио поток с телефона жертвы до того, как он примет вызов.

Интересно, можно ли после этого было отменить вызов и продолжать слушать, но этого в описании не сказано или я не нашёл 😁

А у приложения более 50 миллионов загрузок! И вообще странно, что серверная часть позволяла клиентам манипулировать параметрами протокола и изменять логику работы. Так что, как бы банально не звучало, но все проверки на клиентской стороне должны быть продублированы на сервере (книга MSTG, категория ARCH, требование 2, MSTG-ARCH-2)😁

#Android #Vulnerabilities #SDP