Μια ευπάθεια στο Coursera API θα μπορούσε να επιτρέψει τη διαρροή δεδομένων χρήστη

πριν ΛΙΓΕΣ μερες μια ευπάθεια αποκαλύφθηκε στη δημοφιλή διαδικτυακή πλατφόρμα μαθημάτων Coursera και είναι ότι το πρόβλημα που είχε ήταν στο API, έτσι Πιστεύεται ότι είναι πολύ πιθανό ότι οι χάκερ θα μπορούσαν να έχουν κακοποιήσει την ευπάθεια "BOLA" να κατανοήσουν τις προτιμήσεις των μαθημάτων των χρηστών, καθώς και να παρακάμψουν τις επιλογές μαθημάτων ενός χρήστη.

Εκτός από αυτό πιστεύεται επίσης ότι οι ευπάθειες που αποκαλύφθηκαν πρόσφατα θα μπορούσαν να έχουν εκτεθεί δεδομένα χρήστη πριν από την επισκευή τους. Αυτά τα ελαττώματα ανακαλύφθηκαν από ερευνητές από την εταιρεία δοκιμών ασφάλειας εφαρμογών Σκαρμάξ και δημοσιεύθηκε την τελευταία εβδομάδα.

Ευπάθειες σχετίζονται με μια ποικιλία διεπαφών προγραμματισμού εφαρμογών Coursera και οι ερευνητές αποφάσισαν να ερευνήσουν την ασφάλεια του Coursera λόγω της αυξανόμενης δημοτικότητάς του με τη μετάβαση στην εργασία και τη διαδικτυακή μάθηση λόγω της πανδημίας COVID-19.

Για όσους δεν είναι εξοικειωμένοι με την Coursera, πρέπει να γνωρίζετε ότι πρόκειται για μια εταιρεία που έχει 82 εκατομμύρια χρήστες και συνεργάζεται με περισσότερες από 200 εταιρείες και πανεπιστήμια. Οι αξιοσημείωτες συνεργασίες περιλαμβάνουν το Πανεπιστήμιο του Ιλλινόις, το Πανεπιστήμιο Duke, το Google, το Πανεπιστήμιο του Μίσιγκαν, το International Business Machines, το Imperial College London, το Πανεπιστήμιο του Στάνφορντ και το Πανεπιστήμιο της Πενσυλβάνια.

Ανακαλύφθηκαν διάφορα ζητήματα API, όπως η απαρίθμηση χρήστη / λογαριασμού μέσω της λειτουργίας επαναφοράς κωδικού πρόσβασης, έλλειψη πόρων που περιορίζουν τόσο το GraphQL API όσο και το REST, καθώς και εσφαλμένη διαμόρφωση GraphQL. Συγκεκριμένα, ένα ζήτημα εξουσιοδότησης κατεστραμμένου επιπέδου αντικειμένου βρίσκεται στην κορυφή της λίστας.

Όταν αλληλεπιδράτε με την εφαρμογή διαδικτύου Coursera ως κανονικοί χρήστες (μαθητές), παρατηρήσαμε ότι τα μαθήματα που προβλήθηκαν πρόσφατα εμφανίστηκαν στο περιβάλλον χρήστη. Για να αντιπροσωπεύσουμε αυτές τις πληροφορίες, εντοπίζουμε πολλά αιτήματα API GET στο ίδιο τελικό σημείο: /api/userPreferences.v1/[USER_ID-lex.europa.eu~[PREFERENCE_TYPE}.

Η ευπάθεια API BOLA περιγράφεται ως επηρεασμένες προτιμήσεις χρήστη. Εκμεταλλευόμενοι την ευπάθεια, ακόμη και ανώνυμοι χρήστες μπόρεσαν να ανακτήσουν τις προτιμήσεις τους, αλλά και να τις αλλάξουν. Ορισμένες από τις προτιμήσεις, όπως μαθήματα και πιστοποιήσεις που προβλήθηκαν πρόσφατα, φιλτράρουν επίσης ορισμένα μεταδεδομένα. Τα ελαττώματα BOLA στα API μπορούν να εκθέσουν τελικά σημεία που χειρίζονται αναγνωριστικά αντικειμένων, τα οποία θα μπορούσαν να ανοίξουν την πόρτα σε ευρύτερες επιθέσεις.

«Αυτή η ευπάθεια θα μπορούσε να είχε καταχραστεί για να κατανοήσει τις προτιμήσεις των μαθητών σε μεγάλη κλίμακα, αλλά και να παρακάμψει τις επιλογές των χρηστών κατά κάποιο τρόπο, καθώς ο χειρισμός της πρόσφατης δραστηριότητάς τους επηρέασε το περιεχόμενο που παρουσιάστηκε στην αρχική σελίδα Coursera για ένα συγκεκριμένο χρήστη », εξηγούν οι ερευνητές.

"Δυστυχώς, τα προβλήματα εξουσιοδότησης είναι αρκετά κοινά με τα API", λένε οι ερευνητές. «Είναι πολύ σημαντικό να συγκεντρωθούν οι επικυρώσεις ελέγχου πρόσβασης σε ένα μόνο συστατικό, καλά δοκιμασμένο, συνεχώς δοκιμασμένο και ενεργά συντηρημένο. Τα νέα τελικά σημεία του API ή οι αλλαγές σε υπάρχοντα θα πρέπει να ελέγχονται προσεκτικά βάσει των απαιτήσεων ασφαλείας τους. "

Οι ερευνητές σημείωσαν ότι τα προβλήματα εξουσιοδότησης είναι αρκετά κοινά με τα API και ότι ως εκ τούτου είναι σημαντικό να συγκεντρωθούν οι επικυρώσεις ελέγχου πρόσβασης. Κάτι τέτοιο πρέπει να γίνεται μέσω ενός μεμονωμένου, καλά δοκιμασμένου και συνεχούς εξαρτήματος συντήρησης.

Ανακαλύφθηκαν ευπάθειες υποβλήθηκαν στην ομάδα ασφαλείας της Coursera στις 5 Οκτωβρίου. Η επιβεβαίωση ότι η εταιρεία έλαβε την αναφορά και εργάστηκε σε αυτήν ήρθε στις 26 Οκτωβρίου, και στη συνέχεια ο Coursera έγραψε τον Cherkmarx λέγοντας ότι είχε επιλύσει τα ζητήματα στις 18 Δεκεμβρίου έως τις 2 Ιανουαρίου και στη συνέχεια η Coursera έστειλε μια αναφορά νέου τεστ με ένα νέο πρόβλημα. Τελικά, Στις 24 Μαΐου, η Coursera επιβεβαίωσε ότι όλα τα ζητήματα επιλύθηκαν.

Παρά το μάλλον μεγάλο χρονικό διάστημα από την αποκάλυψη έως τη διόρθωση, οι ερευνητές δήλωσαν ότι η ομάδα ασφαλείας Coursera ήταν χαρά να συνεργαστεί.

«Ο επαγγελματισμός και η συνεργασία τους, καθώς και η γρήγορη ιδιοκτησία που ανέλαβαν, είναι αυτό που προσβλέπουμε όταν συνεργαζόμαστε με εταιρείες λογισμικού», κατέληξαν.

πηγή: https://www.checkmarx.com


Γίνε ο πρώτος που θα σχολιάσει

Αφήστε το σχόλιό σας

Η διεύθυνση email σας δεν θα δημοσιευθεί. Τα υποχρεωτικά πεδία σημειώνονται με *

*

*

  1. Υπεύθυνος για τα δεδομένα: Miguel Ángel Gatón
  2. Σκοπός των δεδομένων: Έλεγχος SPAM, διαχείριση σχολίων.
  3. Νομιμοποίηση: Η συγκατάθεσή σας
  4. Κοινοποίηση των δεδομένων: Τα δεδομένα δεν θα κοινοποιούνται σε τρίτους, εκτός από νομική υποχρέωση.
  5. Αποθήκευση δεδομένων: Βάση δεδομένων που φιλοξενείται από τα δίκτυα Occentus (ΕΕ)
  6. Δικαιώματα: Ανά πάσα στιγμή μπορείτε να περιορίσετε, να ανακτήσετε και να διαγράψετε τις πληροφορίες σας.