Nedavno je otkrivena ranjivost u popularnoj platformi za online kurseve Coursera. Problem je proizašao iz API-ja, što je dovelo do uvjerenja da su hakeri možda iskoristili ranjivost "BOLA" kako bi razumjeli preferencije korisnika u vezi s kursevima i uticali na njihov izbor kurseva.
Nadalje, vjeruje se i da su nedavno otkrivene ranjivosti mogle izložiti korisničke podatke prije nego što su ispravljene. Ove nedostatke otkrili su istraživači kompanije za testiranje sigurnosti aplikacija Checkmarx i objavili ih prošle sedmice.
Ranjivosti se odnose na različite Courserine interfejse za programiranje aplikacija , a istraživači su odlučili dublje istražiti sigurnost Coursere zbog njene rastuće popularnosti kroz prelazak na online rad i učenje uzrokovan pandemijom COVID-19.
Za one koji nisu upoznati sa Courserom, trebali biste znati da je ovo kompanija koja ima 82 miliona korisnika i radi s više od 200 kompanija i univerziteta. Značajna partnerstva uključuju University of Illinois, University of Duke, Google, University of Michigan, International Business Machines, Imperial College London, Stanford University i University of Pennsylvania.
Otkriveno je nekoliko problema s API-jem, uključujući nabrajanje korisnika/računa putem funkcije resetiranja lozinke, nedovoljne resurse koji ograničavaju i GraphQL i REST API-je, te neispravnu konfiguraciju GraphQL-a. Konkretno, problem s oštećenom autorizacijom na nivou objekta je na vrhu liste.
Pri interakciji s web aplikacijom Coursera kao redovni korisnici (studenti) primijetili smo da su nedavno pregledani kursevi prikazani u korisničkom sučelju. Da bismo predstavili ove informacije, otkrivamo više API GET zahtjeva za istu krajnju točku: /api/userPreferences.v1/[USER_ID-lex.europa.eu~[PREFERENCE_TYPE}.
Ranjivost BOLA API-ja opisana je kao nešto što utiče na korisničke postavke. Iskorištavanjem ove ranjivosti, čak i anonimni korisnici mogu preuzeti postavke, pa čak i promijeniti ih. Neke postavke, kao što su nedavno pregledani kursevi i certifikati, također otkrivaju metapodatke. Nedostaci BOLA API-ja mogu otkriti krajnje tačke koje obrađuju identifikatore objekata, potencijalno otvarajući vrata širim napadima.
„Ova ranjivost je mogla biti zloupotrebljena da bi se u velikoj mjeri razumjele preferencije kursa općih korisnika, ali i da bi se na neki način iskrivio izbor korisnika, jer je manipulacija njihovim nedavnim aktivnostima utjecala na sadržaj predstavljen na početnoj stranici Coursera za određeni korisnik “, objašnjavaju istraživači.
"Nažalost, problemi s autorizacijom prilično su česti kod API-ja", kažu istraživači. „Veoma je važno centralizirati provjere kontrole pristupa u jednoj komponenti, dobro testiranoj, kontinuirano testiranoj i aktivno održavanoj. Nove krajnje točke API-ja ili promjene postojećih treba pažljivo pregledati u odnosu na njihove sigurnosne zahtjeve. "
Istraživači su primijetili da su problemi s autorizacijom prilično česti kod API-ja i da je kao takav važno centralizirati provjere valjanosti kontrole pristupa. To se mora učiniti kroz jednu, dobro testiranu i trajnu komponentu održavanja.
Otkrivene ranjivosti su dostavljene sigurnosnom timu Coursere 5. oktobra. Potvrda da je kompanija primila izvještaj i da radi na njemu stigla je 26. oktobra. Coursera je potom pisala Cherkmarxu navodeći da su riješili probleme između 18. decembra i 2. januara, a zatim su dostavili izvještaj o ponovnom testiranju s novim problemom. Konačno, 24. maja, Coursera je potvrdila da su svi problemi riješeni.
Uprkos prilično dugom vremenu od otkrivanja do ispravke, istraživači su rekli da je tim za sigurnost Coursere zadovoljstvo raditi.
"Njihova profesionalnost i saradnja, kao i brzo vlasništvo koje su preuzeli, ono su čemu se radujemo kada komuniciramo sa softverskim kompanijama," zaključili su.
Izvor: https://www.checkmarx.com