Kürzlich wurde eine Sicherheitslücke in der beliebten Online-Kursplattform Coursera entdeckt. Das Problem lag in der API, was zu der Vermutung führte, dass Hacker die sogenannte „BOLA“-Schwachstelle ausgenutzt haben könnten, um die Kurspräferenzen der Nutzer zu ermitteln und deren Kurswahl zu beeinflussen.
Darüber hinaus wird vermutet, dass die kürzlich aufgedeckten Sicherheitslücken möglicherweise Nutzerdaten offengelegt haben, bevor sie behoben wurden. Diese Schwachstellen wurden von Forschern des Unternehmens Checkmarx, das Anwendungssicherheitstests durchführt, entdeckt und letzte Woche veröffentlicht.
Die Sicherheitslücken betreffen verschiedene Programmierschnittstellen von Coursera . Aufgrund der wachsenden Beliebtheit von Coursera durch den Wandel hin zu Online-Arbeit und -Lernen infolge der COVID-19-Pandemie beschlossen die Forscher, die Sicherheit von Coursera genauer zu untersuchen.
Für diejenigen, die mit Coursera nicht vertraut sind, sollten Sie wissen, dass dies ein Unternehmen ist, das 82 Millionen Benutzer hat und mit mehr als 200 Unternehmen und Universitäten zusammenarbeitet. Bemerkenswerte Partnerschaften umfassen die University of Illinois, die Duke University, Google, die University of Michigan, International Business Machines, das Imperial College London, die Stanford University und die University of Pennsylvania.
Es wurden mehrere API-Probleme entdeckt, darunter die Aufzählung von Benutzern/Konten über die Passwortzurücksetzungsfunktion, unzureichende Ressourcen, die sowohl die GraphQL- als auch die REST-APIs einschränken, und eine fehlerhafte GraphQL-Konfiguration. Besonders gravierend ist ein Problem mit der Autorisierung auf Objektebene.
Bei der Interaktion mit der Coursera-Webanwendung als normale Benutzer (Studenten) ist uns aufgefallen, dass kürzlich angesehene Kurse in der Benutzeroberfläche angezeigt wurden. Um diese Informationen darzustellen, erkennen wir mehrere API GET-Anfragen an denselben Endpunkt: /api/userPreferences.v1/[USER_ID-lex.europa.eu~[PREFERENCE_TYPE}.
Die BOLA-API-Schwachstelle betrifft Benutzereinstellungen. Durch Ausnutzung dieser Schwachstelle können selbst anonyme Benutzer Einstellungen abrufen und ändern. Einige Einstellungen, wie beispielsweise kürzlich angesehene Kurse und Zertifizierungen, geben zudem Metadaten preis. Fehler in der BOLA-API können Endpunkte offenlegen, die Objektbezeichner verarbeiten, und so potenziell weitreichendere Angriffe ermöglichen.
«Diese Schwachstelle könnte missbraucht worden sein, um die Kurspräferenzen allgemeiner Benutzer in großem Umfang zu verstehen, aber auch, um die Entscheidungen der Benutzer in irgendeiner Weise zu verzerren, da die Manipulation ihrer jüngsten Aktivitäten die auf der Homepage Coursera präsentierten Inhalte für einen bestimmten Zweck beeinflusste Benutzer “, erklären die Forscher.
„Berechtigungsprobleme sind bei APIs leider keine Seltenheit“, sagen die Forscher. „Es ist sehr wichtig, die Validierung der Zugangskontrolle in einer einzigen Komponente zu zentralisieren, die gut getestet, kontinuierlich getestet und aktiv gewartet wird. Neue API-Endpunkte oder Änderungen an bestehenden sollten sorgfältig anhand ihrer Sicherheitsanforderungen überprüft werden."
Die Forscher stellten fest, dass Autorisierungsprobleme bei APIs recht häufig sind und dass es daher wichtig ist, die Validierung der Zugangskontrolle zu zentralisieren. Dies muss über eine einzige, gut getestete und fortlaufende Wartungskomponente erfolgen.
Die entdeckten Sicherheitslücken wurden am 5. Oktober an das Sicherheitsteam von Coursera gemeldet. Die Bestätigung, dass das Unternehmen den Bericht erhalten und an der Behebung gearbeitet hatte, kam am 26. Oktober. Anschließend teilte Coursera Cherkmarx mit, die Probleme seien zwischen dem 18. Dezember und dem 2. Januar behoben worden, und reichte kurz darauf einen erneuten Testbericht mit einem neuen Problem ein. Schließlich bestätigte Coursera am 24. Mai, dass alle Probleme behoben seien.
Trotz der ziemlich langen Zeit von der Offenlegung bis zur Korrektur sagten die Forscher, dass die Zusammenarbeit mit dem Coursera-Sicherheitsteam eine Freude war.
"Ihre Professionalität und Zusammenarbeit sowie die schnelle Übernahme von Eigenverantwortung sind das, worauf wir uns bei der Zusammenarbeit mit Softwareunternehmen freuen", schlossen sie.
Quelle: https://www.checkmarx.com