V populární platformě online kurzů Coursera byla nedávno objevena zranitelnost. Problém pramenil z API, což vedlo k domněnce , že hackeři mohli zneužít zranitelnost „BOLA“ k pochopení preferencí uživatelů ohledně kurzů a ovlivnění jejich výběru kurzů.
Dále se také předpokládá, že nedávno odhalené zranitelnosti mohly odhalit uživatelská data ještě předtím, než byly opraveny. Tyto chyby objevili výzkumníci ze společnosti Checkmarx, která se zabývá testováním bezpečnosti aplikací, a minulý týden byly zveřejněny.
Zranitelnosti se týkají řady aplikačních programovacích rozhraní platformy Coursera a vědci se rozhodli hlouběji prozkoumat bezpečnost platformy Coursera kvůli její rostoucí popularitě v důsledku přechodu na online práci a vzdělávání v důsledku pandemie COVID-19.
Pro ty, kteří Courseru neznají, měli byste vědět, že se jedná o společnost, která má 82 milionů uživatelů a spolupracuje s více než 200 společnostmi a univerzitami. Pozoruhodná partnerství zahrnují University of Illinois, Duke University, Google, University of Michigan, International Business Machines, Imperial College London, Stanford University a University of Pennsylvania.
Bylo objeveno několik problémů s API, včetně výčtu uživatelů/účtů pomocí funkce resetování hesla, nedostatečných zdrojů omezujících GraphQL i REST API a nesprávné konfigurace GraphQL. Zejména na prvním místě seznamu je problém s nefunkční autorizací na úrovni objektů.
Při interakci s webovou aplikací Coursera jako běžní uživatelé (studenti) jsme si všimli, že v uživatelském rozhraní se zobrazily naposledy zobrazené kurzy. Abychom reprezentovali tyto informace, detekujeme několik požadavků GET API na stejný koncový bod: /api/userPreferences.v1/[USER_ID-lex.europa.eu~~PREFERENCE_TYPE}.
Zranitelnost rozhraní BOLA API je popsána jako ovlivňující uživatelské preference. Zneužitím této zranitelnosti by i anonymní uživatelé mohli načíst preference a dokonce je změnit. Některé preference, jako například nedávno zobrazené kurzy a certifikace, také unikají metadata. Chyby rozhraní BOLA API mohou odhalit koncové body , které zpracovávají identifikátory objektů, což potenciálně otevírá dveře širším útokům.
«Tuto chybu zabezpečení bylo možné zneužít k pochopení preferencí kurzů běžných uživatelů ve velkém měřítku, ale také k určitému zkreslení možností uživatelů, protože manipulace s jejich nedávnou aktivitou ovlivnila obsah prezentovaný na domovské stránce Coursera uživatel, “vysvětlují vědci.
„Bohužel problémy s autorizací jsou u API zcela běžné,“ tvrdí vědci. „Je velmi důležité centralizovat validace řízení přístupu do jedné komponenty, dobře testované, průběžně testované a aktivně udržované. Nové koncové body API nebo změny stávajících by měly být pečlivě zkontrolovány s ohledem na jejich bezpečnostní požadavky.
Vědci poznamenali, že problémy s autorizací jsou u API zcela běžné a že jako takové je důležité centralizovat validace řízení přístupu. To musí být provedeno prostřednictvím jediné, dobře otestované a průběžné součásti údržby.
Objevené zranitelnosti byly bezpečnostnímu týmu společnosti Coursera nahlášeny 5. října. Potvrzení, že společnost hlášení obdržela a pracuje na něm, přišlo 26. října. Coursera následně napsala společnosti Cherkmarx, že problémy vyřešila mezi 18. prosincem a 2. lednem, a poté předložila zprávu o opakovaném testování s novým problémem. Nakonec 24. května Coursera potvrdila, že všechny problémy byly opraveny.
I přes poměrně dlouhou dobu od zveřejnění do nápravy vědci uvedli, že s bezpečnostním týmem Coursera bylo potěšením pracovat.
„Těšíme se na jejich profesionalitu a spolupráci, stejně jako na rychlé vlastnictví, které převzali při spolupráci se softwarovými společnostmi,“ uzavírají.
Zdroj: https://www.checkmarx.com