Наскоро беше открита уязвимост в популярната платформа за онлайн курсове Coursera. Проблемът произтича от API, което води до убеждението, че хакери може да са използвали уязвимостта „BOLA“, за да разберат предпочитанията на потребителите за курсове и да повлияят на избора им.
Освен това се смята, че наскоро разкритите уязвимости може да са разкрили потребителски данни, преди да бъдат отстранени. Тези недостатъци бяха открити от изследователи в компанията за тестване на сигурността на приложенията Checkmarx и бяха оповестени публично миналата седмица.
Уязвимостите са свързани с различни интерфейси за приложно програмиране на Coursera и изследователите решиха да се задълбочат в сигурността на Coursera поради нарастващата ѝ популярност чрез преминаването към онлайн работа и обучение вследствие на пандемията от COVID-19.
За тези, които не са запознати с Coursera, трябва да знаете, че това е компания, която има 82 милиона потребители и работи с повече от 200 компании и университети. Забележителни партньорства включват Университета на Илинойс, Университета Дюк, Google, Университета в Мичиган, Международните бизнес машини, Имперския колеж в Лондон, Станфордския университет и Университета в Пенсилвания
Открити са няколко проблема с API, включително изброяване на потребители/акаунт чрез функцията за нулиране на парола, недостатъчни ресурси, ограничаващи както GraphQL, така и REST API, и неправилна конфигурация на GraphQL. По-специално, проблем с повредена оторизация на ниво обект е начело в списъка.
При взаимодействието с уеб приложението Coursera като редовни потребители (студенти) забелязахме, че наскоро гледаните курсове се показват в потребителския интерфейс. За представяне на тази информация откриваме множество заявки за API GET към една и съща крайна точка: /api/userPreferences.v1/[USER_ID-lex.europa.eu~[PREFERENCE_TYPE}.
Уязвимостта на BOLA API е описана като засягаща потребителските предпочитания. Чрез използването на тази уязвимост, дори анонимни потребители биха могли да извлекат предпочитания и дори да ги променят. Някои предпочитания, като например наскоро преглеждани курсове и сертификати, също изтичат метаданни. Недостатъците на BOLA API могат да разкрият крайни точки , които обработват идентификатори на обекти, което потенциално отваря вратата за по-широки атаки.
«Тази уязвимост би могла да бъде злоупотребена, за да се разберат предпочитанията на курса на общите потребители в голям мащаб, но също така и да се изкриви избора на потребителите по някакъв начин, тъй като манипулирането на тяхната скорошна активност засяга съдържанието, представено на началната страница Coursera за конкретен потребител “, обясняват изследователите.
„За съжаление проблемите с оторизацията са доста често срещани при API-тата“, казват изследователите. „Много е важно да се централизират проверките за контрол на достъпа в един компонент, добре тестван, непрекъснато тестван и активно поддържан. Новите крайни точки на API или промените в съществуващите трябва да бъдат внимателно прегледани спрямо техните изисквания за сигурност.
Изследователите отбелязват, че проблемите с оторизацията са често срещани при API и че като такива е важно да се централизират проверките за контрол на достъпа. Правенето на това трябва да става чрез един, добре тестван и текущ компонент за поддръжка.
Откритите уязвимости бяха представени на екипа по сигурността на Coursera на 5 октомври. Потвърждение, че компанията е получила доклада и работи по него, дойде на 26 октомври. Впоследствие Coursera писа до Cherkmarx, заявявайки, че са отстранили проблемите между 18 декември и 2 януари, след което представи доклад за повторно тестване с нов проблем. Накрая, на 24 май Coursera потвърди, че всички проблеми са отстранени.
Въпреки доста дългото време от разкриването до корекцията, изследователите заявиха, че екипът по сигурността на Coursera е удоволствие да работи.
„Техният професионализъм и сътрудничество, както и бързата собственост, която поеха, е това, което очакваме с нетърпение, когато работим със софтуерни компании“, заключиха те.
Източник: https://www.checkmarx.com