De app die de regering van de Amerikaanse president Donald Trump onlangs uitbracht, blijkt diverse problemen te hebben. Zo stuurt de app de locatie van gebruikers elke 4,5 minuten door en leunt deze op code van een individuele GitHub-gebruiker.
Volgens het Witte Huis is de app bedoeld om realtime-updates te krijgen van de regering-Trump. De app is verkrijgbaar voor iOS en Android. Behalve nieuws en updates bevat de app ook functies om contact op te nemen met de regering, livestreams te volgen en informatie te vinden over prioriteiten van de regering en de president.
Ontwikkelaar Thereallo, die vorig jaar samenwerkte met het gerenommeerde Krebs on Security bij onderzoek naar gokbots, bestudeerde de code van de app en vond diverse issues. Zo heeft de app een WebView voor het openen van links, waarbij de app JavaScript-code in pagina's van derden injecteert. Die probeert paywalls en cookiebanners weg te halen en blokkeert pop-ups om bijvoorbeeld in te loggen.
Op de voorgrond stuurt de app elke 4,5 minuten de locatie van de gebruiker door naar een server, op de achtergrond gebeurt dat elke negen minuten. Het verzamelen van de locatie gaat niet ongemerkt, gebruikers moeten wel goedkeuring geven. Die locatie gaat naar servers van One Signal, een platform voor het bevorderen van 'customer engagement'. Dat bedrijf verzamelt naast de locatie van gebruikers ook data over waar gebruikers op klikken en met welke meldingen gebruikers wel of niet iets doen.
Voor het weergeven van video gebruikt de app een iframe-element van GitHub-gebruiker LonelyCPP. Die kan daardoor via het eigen account willekeurige code uitvoeren op de apparaten van elke gebruiker van de White House-app. LonelyCPP is een Indiase ontwikkelaar en hij reageerde op de vondst met 'ze hadden het script zelf moeten hosten'. De regering-Trump heeft nog niet gereageerd op de bevindingen.
:strip_exif()/i/2008090568.jpeg?f=imagenormal)