Wie eine Sicherheitslücke bei „Schutzranzen“ gefunden und geschlossen wurde

Details

Zuerst haben die Forscher mit Packet Capture den Datenverkehr der Schutzranzen-App mitgeschnitten.
Dadurch haben sie die URL einer API und dazugehörige HTTP-Basic-Auth-Zugangsdaten erfahren.

Anschließend haben sie die Installationsdatei (APK) mit apktool entpackt und nach Schlagwörtern wie http oder api gesucht.
So kamen sie an 14 verschiedene Funktionen, die die API über HTTP GET oder PUT zur Verfügung stellte.

Eine dieser Funktionen lieferte eine Liste aller registrierten Tracker (d.h. hier: Schutzranzen-Geräte und Schutzranzen-Kinder-Apps): curl 'https://{HTTP-Basic-Auth-Zugangsdaten}@{URL der API}/.../trackers'.
Die Liste enthielt für jeden Tracker die IMEI, die Telefonnummer, einen Namen ("... Test ..."), den Zeitstempel des letzten Positionsupdates und den Zeitstempel der letzten Aktivität, den Batteriestatus (niedrig oder nicht), sowie eine Flag, ob der Tracker Eltern akzeptiert.

Für Sektoren sectors?latitude=%.6f&longitude=%.6f&radius=%d konnte abgefragt werden, welche Tracker in diesem Sektor befinden. 
Durch einen sehr großen Radius, etwa radius=900000000, konnte man Daten zu fast 100 Trackern abrufen.

   {
      "id":"",
      "phone":"",
      "name":"Test Internal 7",
      "lastSeen":1515187629000,
      "lastPositionUpdate":1515187634000,
      "visible":false,
      "acceptingParents":true,
      "batteryLow":false
   },

Mit den IMEIs der Tracker und über eine andere Funktion der API konnten die Eltern, die einem Tracker zugeordnet waren, abgerufen werden. Die Antwort der API enthielt mehrere IDs und einen Namen.

   {
      "tracking":true,
      "name":"Papa",
      "server":"",
      "slot":"UNKNOWN",
      "primaryId":5,
      "appId":"12345-1234-1234-1234-12345678"
   },

Hier gibt es eine Stellungnahme von Coodriver zur gefundenen Lücke.