- Aktif istismar
- CWE-203
CVE-2024-39891
Twilio Authy'de Kayıtlı Telefon Numaralarının Sızdırılmasına Yol Açan Bilgi İfşası Açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 848 gün
- Kaydı açan
- mitre
ÖzetTürkçe
Twilio Authy API'sine erişen Authy Android sürümleri 25.1.0'dan öncesi ve Authy iOS sürümleri 26.1.0'dan öncesi için, kimlik doğrulaması gerektirmeyen bir uç nokta belirli telefon numarası verilerine erişim sağlıyordu; bu açık Haziran 2024'te gerçek saldırılarda kullanılmıştır. Özellikle bu uç nokta, telefon numaralarından oluşan bir istek akışını kabul ediyor ve her bir telefon numarasının Authy'de kayıtlı olup olmadığına dair bilgi ile yanıt veriyordu. (Ancak Authy hesapları ele geçirilmemiştir.)
Kaynaktaki açıklama (İngilizce)
In the Twilio Authy API, accessed by Authy Android before 25.1.0 and Authy iOS before 26.1.0, an unauthenticated endpoint provided access to certain phone-number data, as exploited in the wild in June 2024. Specifically, the endpoint accepted a stream of requests containing phone numbers, and responded with information about whether each phone number was registered with Authy. (Authy accounts were not compromised, however.)
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Twilio Authy | Sürüm belirtilmemiş | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- cwe.mitre.org/data/definitions/203.html Diğer
- twilio.com/docs/usage/security/reporting-vulnerabilities Diğer
- twilio.com/en-us/changelog Diğer
- bleepingcomputer.com/…-to-verify-millions-of-authy-mfa-phone-numbers Diğer
- twilio.com/…changelog/Security_Alert_Authy_App_Android_iOS Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.