Une faille de sécurité a récemment été découverte sur la plateforme de cours en ligne Coursera. Ce problème, lié à l'API, laisse penser que des pirates informatiques pourraient avoir exploité la vulnérabilité « BOLA » pour connaître les préférences des utilisateurs et influencer leurs choix de cours.
De plus, il semblerait que les vulnérabilités récemment révélées aient pu exposer des données utilisateur avant d'être corrigées. Ces failles ont été découvertes par des chercheurs de la société de tests de sécurité applicative Checkmarx et rendues publiques la semaine dernière.
Les vulnérabilités concernent diverses interfaces de programmation d'applications de Coursera , et les chercheurs ont décidé d'approfondir l'étude de la sécurité de Coursera en raison de sa popularité croissante liée au passage au travail et à l'apprentissage en ligne dû à la pandémie de COVID-19.
Pour ceux qui ne connaissent pas Coursera, sachez qu'il s'agit d'une entreprise qui compte 82 millions d'utilisateurs et travaille avec plus de 200 entreprises et universités. Les partenariats notables incluent l'Université de l'Illinois, l'Université Duke, Google, l'Université du Michigan, International Business Machines, l'Imperial College de Londres, l'Université de Stanford et l'Université de Pennsylvanie.
Plusieurs problèmes d'API ont été détectés, notamment l'énumération des utilisateurs/comptes via la fonction de réinitialisation du mot de passe, des ressources insuffisantes limitant les API GraphQL et REST, et une configuration GraphQL incorrecte. Un problème d'autorisation au niveau des objets est particulièrement préoccupant.
Lors de l'interaction avec l'application Web Coursera en tant qu'utilisateurs réguliers (étudiants), nous avons remarqué que les cours récemment consultés étaient affichés dans l'interface utilisateur. Afin de représenter ces informations, nous détectons plusieurs requêtes API GET vers le même point de terminaison : /api/userPreferences.v1/[USER_ID-lex.europa.eu~[PREFERENCE_TYPE}.
La vulnérabilité de l'API BOLA affecte les préférences des utilisateurs. Son exploitation permet même à des utilisateurs anonymes de récupérer et de modifier ces préférences. Certaines, comme les cours récemment consultés et les certifications, exposent également des métadonnées. Les failles de l'API BOLA peuvent rendre accessibles des points d'accès gérant les identifiants d'objets, ouvrant ainsi la voie à des attaques de plus grande envergure.
Cette vulnérabilité aurait pu être exploitée pour comprendre les préférences de cours des utilisateurs généraux à grande échelle, mais aussi pour fausser les choix des utilisateurs d'une manière ou d'une autre, car la manipulation de leur activité récente affectait le contenu présenté sur la page d'accueil Coursera pour un utilisateur spécifique. », expliquent les chercheurs.
"Malheureusement, les problèmes d'autorisation sont assez fréquents avec les API", déclarent les chercheurs. « Il est très important de centraliser les validations de contrôle d'accès dans un seul composant, bien testé, continuellement testé et activement maintenu. Les nouveaux points de terminaison d'API, ou les modifications apportées à ceux existants, doivent être soigneusement examinés par rapport à leurs exigences de sécurité. "
Les chercheurs ont noté que les problèmes d'autorisation sont assez fréquents avec les API et qu'à ce titre, il est important de centraliser les validations de contrôle d'accès. Cela doit se faire par le biais d'un composant de maintenance unique, bien testé et continu.
Les vulnérabilités découvertes ont été signalées à l'équipe de sécurité de Coursera le 5 octobre. La confirmation de la réception du rapport et de la mise en œuvre du traitement a été reçue le 26 octobre. Coursera a ensuite écrit à Cherkmarx pour l'informer de la résolution des problèmes entre le 18 décembre et le 2 janvier, puis a soumis un nouveau rapport de test faisant état d'un nouveau problème. Enfin, le 24 mai, Coursera a confirmé la résolution de tous les problèmes.
Malgré le temps assez long entre la divulgation et la correction, les chercheurs ont déclaré que l'équipe de sécurité de Coursera était un plaisir de travailler avec.
« Leur professionnalisme et leur coopération, ainsi que la rapidité avec laquelle ils se sont appropriés, sont ce que nous attendons avec impatience lorsque nous nous engageons avec des sociétés de logiciels », ont-ils conclu.
Source : https://www.checkmarx.com