Bhavuk Jain นักวิจัยความปลอดภัยรายงานถึงช่องโหว่ของบริการ Sign in with Apple โดยกระบวนการล็อกอินคล้าย OAuth 2.0 ที่ผู้ใช้ต้องยื่นขอกุญแจ JWT จากเซิร์ฟเวอร์แอปเปิล เพื่อไปส่งต่อให้กับบริการภายนอกโดยบริการภายนอกเช่นเว็บหรือแอปสามารถตรวจสอบความถูกต้องของ JWT ได้ และอนุญาตให้ผู้ใช้ล็อกอิน

อย่างไรก็ดี Jain พบว่าเซิร์ฟเวอร์ appleid.apple.com ปล่อยกุญแจของอีเมลใดๆ เพียงแค่ส่ง HTTP POST เข้าไปเท่านั้น

ช่องโหว่นี้ทำให้แฮกเกอร์ที่ได้รับกุญแจไปสามารถขอกุญแจ JWT ของผู้ใช้อื่นๆ แล้วนำไปล็อกอินยึดบัญชีของบริการต่างๆ ได้ ไม่ว่าจะเป็น Dropbox, Spotify, หรือ Airbnb

ทางด้านแอปเปิลรับรายงานและสอบสวนภายใน ยืนยันว่าไม่มีการโจมตีด้วยช่องโหว่นี้มาก่อนหน้าที่ Jain จะรายงานช่องโหว่ แล้วจ่ายเงินรางวัล 100,000 ดอลลาร์เนื่องจากเป็นช่องโหว่ที่ผลกระทบสูง

ที่มา - Bhavuk Jain