Aplicativo do Cirque du Soleil possui falhas e encerra junto com turnê

Um famoso espetáculo do Cirque du Soleil, Toruk, encerrou suas apresentações em Londres no final de junho - bem como sua experiência digital. O aplicativo do show, nomeado TORUK - The First Flight, disponível tanto para Android quanto para iOS, não será mais comercializado aos espectadores após o encerramento da turnê - o que é positivo, pois a empresa de segurança ESET detectou algumas falhas no app que teve mais 100 mil instalações no Google Play, mas não é atualizado desde 2016. A ESET avisou o desenvolvedor do aplicativo sobre os problemas, encontrados em março de 2019, mas guardou as informações a divulgação pública até o encerramento da turnê para não prejudicar o espetáculo, já que os riscos de segurança são moderados e a publicação das falhas geraria um efeito negativo ao show. Fofos, não? ?

A ideia do aplicativo era que a plateia pudesse fazer parte da apresentação em uma experiência sincronizada com efeitos audiovisuais em seus dispositivos móveis. Contudo, o app não é muito seguro e, enquanto ele é executado, uma porta local é aberta permitindo que haja alterações remotas nas configurações de volume, além de descobrir dispositivos próximos com Bluetooth ativado, exibir animações, definir a posição do botão "Curtir" do Facebook no dispositivo e ler ou escrever algo para as preferências compartilhadas acessíveis ao aplicativo. A ESET publicou um vídeo demonstrando a execução remota possibilitada pelo bug.

Isso significa que qualquer pessoa que esteja conectada à mesma rede de Wi-Fi que o usuário do aplicativo pode executar essas funções e enviar comandos ao dispositivo que carrega o app, permitindo que um invasor obtenha endereços IP de um aparelho com a porta aberta - neste caso, o aplicativo abre a porta 6161 no localhost. A porta é sempre a mesma. O recomendável é que os usuários desinstalem o aplicativo após a experiência no espetáculo - o que, aliás, é aconselhado para qualquer app que possui uma finalidade exclusiva! ?