Hiljuti avastati populaarses veebikursuste platvormis Coursera haavatavus. Probleem tulenes API-st, mis andis alust arvata , et häkkerid võisid ära kasutada "BOLA" haavatavust, et mõista kasutajate kursuste eelistusi ja mõjutada nende kursusevalikuid.
Lisaks arvatakse, et hiljuti avalikustatud haavatavused võisid enne parandamist kasutajaandmeid paljastada. Need vead avastasid rakenduste turvalisuse testimise ettevõtte Checkmarx teadlased ja avalikustasid need eelmisel nädalal.
Haavatavused on seotud mitmesuguste Coursera rakendusliidestega ning teadlased otsustasid Coursera turvalisust põhjalikumalt uurida, kuna see on COVID-19 pandeemia tõttu veebipõhise töö ja õppe suunas liikumise tõttu üha populaarsemaks muutunud.
Neile, kellele Coursera pole tuttav, peaksite teadma, et see on ettevõte, millel on 82 miljonit kasutajat ja kes töötab rohkem kui 200 ettevõtte ja ülikooliga. Märkimisväärsete partnerluste hulka kuuluvad Illinoisi ülikool, Duke'i ülikool, Google, Michigani ülikool, International Business Machines, Londoni Imperial College, Stanfordi ülikool ja Pennsylvania ülikool.
Avastati mitu API probleemi, sealhulgas kasutajate/kontode loendamine parooli lähtestamise funktsiooni kaudu, ebapiisavad ressursid, mis piirasid nii GraphQL kui ka REST API-sid, ja vale GraphQL-i konfiguratsioon. Eelkõige on nimekirja tipus vigane objektitaseme autoriseerimisprobleem.
Coursera veebirakendusega tavaliste kasutajatena (õpilastena) suheldes märkasime, et hiljuti vaadatud kursused kuvati kasutajaliideses. Selle teabe esitamiseks tuvastame mitu API GET päringut samale lõpp-punktile: /api/userPreferences.v1/[USER_ID-lex.europa.eu~~PREFERENCE_TYPE}.
BOLA API haavatavust kirjeldatakse kui kasutajate eelistusi mõjutavat haavatavust. Selle haavatavuse ärakasutamise abil saavad isegi anonüümsed kasutajad eelistusi hankida ja isegi neid muuta. Mõned eelistused, näiteks hiljuti vaadatud kursused ja sertifikaadid, lekivad ka metaandmeid. BOLA API vead võivad paljastada objektiidentifikaatoreid haldavaid lõpp-punkte, avades potentsiaalselt ukse laiematele rünnakutele.
Seda haavatavust oleks võinud kuritarvitada nii üldkasutajate kursuseelistuste laiaulatuslikuks mõistmiseks kui ka kasutajate valikute moonutamiseks, kuna nende hiljutise tegevusega manipuleerimine mõjutas Coursera avalehel konkreetsele kasutajale esitatud sisu , ”Selgitavad teadlased.
"Paraku on autoriseerimisprobleemid API-de puhul üsna tavalised," ütlevad teadlased. „On väga oluline koondada juurdepääsukontrollide kinnitused ühte komponenti, hästi testitud, pidevalt testitud ja aktiivselt hooldatud. Uued API-punktid või muudatused olemasolevates tuleks hoolikalt läbi vaadata nende turvanõuetega. "
Teadlased märkisid, et autoriseerimisprobleemid on API-de puhul üsna tavalised ja seetõttu on oluline juurdepääsu kontrollimise valideerimine tsentraliseerida. See peab toimuma läbi ühe, hästi testitud ja pideva hoolduskomponendi.
Avastatud haavatavused esitati Coursera turvameeskonnale 5. oktoobril. Kinnitus, et ettevõte sai aruande kätte ja tegeleb sellega, saabus 26. oktoobril. Seejärel kirjutas Coursera Cherkmarxile, märkides, et nad lahendasid probleemid 18. detsembri ja 2. jaanuari vahel ning esitasid seejärel uue probleemiga uuesti testimise aruande. Lõpuks, 24. mail, kinnitas Coursera, et kõik probleemid on parandatud.
Hoolimata üsna pikast ajast avalikustamisest parandamiseni, ütlesid teadlased, et Coursera turvameeskonnal oli rõõm töötada.
"Nende professionaalsus ja koostöö ning nende kiire omandiõigus on see, mida me tarkvaraettevõtetega suheldes ootame," lõpetasid nad.
Allikas: https://www.checkmarx.com