En sårbarhed blev for nylig opdaget i den populære onlinekursusplatform Coursera. Problemet stammede fra API'en, hvilket førte til den antagelse, at hackere muligvis har udnyttet "BOLA"-sårbarheden til at forstå brugernes kursuspræferencer og påvirke deres kursusvalg.
Derudover menes det også, at de nyligt afslørede sårbarheder muligvis har eksponeret brugerdata, før de blev rettet. Disse fejl blev opdaget af forskere hos applikationssikkerhedstestfirmaet Checkmarx og offentliggjort i sidste uge.
Sårbarhederne vedrører en række af Courseras applikationsprogrammeringsgrænseflader , og forskerne besluttede at dykke dybere ned i Courseras sikkerhed på grund af dens voksende popularitet gennem skiftet til online arbejde og læring på grund af COVID-19-pandemien.
For dem der ikke kender Coursera, skal du vide, at dette er et firma, der har 82 millioner brugere og arbejder med mere end 200 virksomheder og universiteter. Bemærkelsesværdige partnerskaber inkluderer University of Illinois, Duke University, Google, University of Michigan, International Business Machines, Imperial College London, Stanford University og University of Pennsylvania.
Der blev opdaget adskillige API-problemer, herunder bruger-/kontooptælling via funktionen til nulstilling af adgangskode, utilstrækkelige ressourcer, der begrænsede både GraphQL- og REST-API'erne, og forkert GraphQL-konfiguration. Især et problem med manglende godkendelse på objektniveau topper listen.
Når vi interagerede med Coursera-webapplikationen som almindelige brugere (studerende), bemærkede vi, at nyligt viste kurser blev vist i brugergrænsefladen. For at repræsentere disse oplysninger registrerer vi flere API GET-anmodninger til det samme slutpunkt: /api/userPreferences.v1/ [USER_ID-lex.europa.eu ~ [FORETRUKNE_TYPE}.
BOLA API-sårbarheden beskrives som en sårbarhed, der påvirker brugerpræferencer. Ved at udnytte denne sårbarhed kan selv anonyme brugere hente præferencer og endda ændre dem. Nogle præferencer, såsom nyligt sete kurser og certificeringer, lækker også metadata. BOLA API-fejl kan afsløre endpoints , der håndterer objektidentifikatorer, hvilket potentielt åbner døren for bredere angreb.
Denne sårbarhed kunne have været misbrugt for at forstå de almindelige brugeres kursuspræferencer i stor skala, men også for at skæve brugernes valg på en eller anden måde, da manipulationen af deres seneste aktivitet påvirkede indholdet, der blev præsenteret på hjemmesiden Coursera for en bestemt bruger , ”Forklarer forskerne.
"Desværre er autorisationsproblemer ret almindelige med API'er," siger forskerne. ”Det er meget vigtigt at centralisere adgangskontrolvalideringer i en enkelt komponent, godt testet, kontinuerligt testet og aktivt vedligeholdt. Nye API-slutpunkter eller ændringer af eksisterende bør gennemgås nøje i forhold til deres sikkerhedskrav. "
Forskerne bemærkede, at autorisationsproblemer er ret almindelige med API'er, og at det som sådan er vigtigt at centralisere validering af adgangskontrol. Dette skal ske gennem en enkelt, velprøvet og løbende vedligeholdelseskomponent.
De opdagede sårbarheder blev indsendt til Courseras sikkerhedsteam den 5. oktober. Bekræftelse på, at virksomheden havde modtaget rapporten og arbejdede på den, kom den 26. oktober. Coursera skrev efterfølgende til Cherkmarx og oplyste, at de havde løst problemerne mellem 18. december og 2. januar, og derefter indsendte en ny testrapport med et nyt problem. Endelig, den 24. maj, bekræftede Coursera, at alle problemer var blevet rettet.
På trods af den forholdsvis lange tid fra offentliggørelse til korrektion sagde forskerne, at Coursera-sikkerhedsteamet var en fornøjelse at arbejde med.
"Deres professionalisme og samarbejde samt det hurtige ejerskab, de antog, er det, vi ser frem til, når vi indgår i softwarevirksomheder," konkluderede de.
Kilde: https://www.checkmarx.com