Firebase是谷歌提供的“后端即服務(wù)”(Backend-as-a-Service)產(chǎn)品,其中包含了大量發(fā)服務(wù),旨在方便移動(dòng)開(kāi)發(fā)人員創(chuàng)建基于這些服務(wù)的移動(dòng)或Web應(yīng)用。
Firebase在頂級(jí)Android開(kāi)發(fā)者中頗受歡迎,因?yàn)樗梢蕴峁┰葡ⅰ⑼扑屯ㄖ?、?shù)據(jù)庫(kù)、分析、廣告,以及其它更多后端和API,允許開(kāi)發(fā)者輕松地將其整合到自己的項(xiàng)目中 。
但今年年初以來(lái),Appthority掃描了270多萬(wàn)款使用了Firebase系統(tǒng)的移動(dòng)應(yīng)用(App),發(fā)現(xiàn)了28502款應(yīng)用將數(shù)據(jù)存儲(chǔ)在Firebase的后端。 其中,Android應(yīng)用占27227款,iOS應(yīng)用占1275款。
在這28502款應(yīng)用程序中,3046款應(yīng)用程序?qū)?shù)據(jù)存儲(chǔ)在2271個(gè)錯(cuò)誤配置的Firebase數(shù)據(jù)庫(kù)中,允許任何人公開(kāi)查看。 其中,Android應(yīng)用程序占2446款,iOS程序占600款。
整體而言,F(xiàn)irebase泄露的用戶(hù)數(shù)據(jù)總量為113 GB,其中包括260萬(wàn)個(gè)明文密碼和用戶(hù)賬號(hào),400萬(wàn)條聊天記錄,2500萬(wàn)個(gè)GPS位置信息, 50000條金融交易記錄(包括銀行、支付和比特幣交易),以及450萬(wàn)條Facebook、LinkedIn、Firebase和企業(yè)數(shù)據(jù)存儲(chǔ)用戶(hù)令牌。
Appthority在報(bào)告中還稱(chēng),有2446款泄露用戶(hù)數(shù)據(jù)的程序在Google Play應(yīng)用商店中的下載量超過(guò)6.2億次,這些應(yīng)用程序涵蓋工具、生產(chǎn)力、健身、通信和財(cái)務(wù)等類(lèi)別。
Appthority指出,該漏洞可能給企業(yè)造成的潛在風(fēng)險(xiǎn)是極大的,因?yàn)?2%的企業(yè)在其移動(dòng)環(huán)境中至少擁有其中一款受影響的應(yīng)用程序。