Sicherheitslücke bei Verizon
Sicherheitsforscher: App legt Anruflisten anderer Telekomkunden offen.

Am 22. Februar 2025 entdeckte der Sicherheitsforscher Evan Connelly eine Sicherheitslücke in der "Call Filter"-App, die auf von Verizon direkt verkauften Smartphones vorinstalliert ist. Die App soll Spam-Anrufe ausfiltern und unerwünschte Anrufe blockieren.

Connelly stellte fest, dass sich die iOS-App (und sehr wahrscheinlich auch die Android-Version) mit einem API-Endpoint verbindet, um die Daten des angemeldeten Nutzers abzurufen. Dabei werden ein JWT (JSON Web Token) sowie die Telefonnummer, deren Anrufhistorie eingesehen werden soll, an den Endpoint übermittelt. Es war jedoch möglich, dass Nutzer ihre eigenen JWTs verwenden, die übermittelte Telefonnummer jedoch austauschen konnten, um so Zugriff auf die eingehenden Anrufe anderer zu erhalten.

Der so ausnutzbare Endpoint befindet sich Connelly zufolge auf den Servern eines Drittanbieters, Cequint. Der Forscher erklärte in seinem Blogpost zu der Schwachstelle, dass Verizon die Lücke ca. binnen eines Monats schloss, da der Zugriff am 23. März nicht mehr möglich war und der Konzern ihm dies am 25. März bestätigte.

Nachtrag vom 08.04.2025:

Verizon haben einen Patch für die betroffene App veröffentlicht, der die Sicherheitslücke schließt.