Nedavno je otkrivena ranjivost u popularnoj platformi za online tečajeve Coursera. Problem je proizašao iz API-ja, što je dovelo do uvjerenja da su hakeri možda iskoristili ranjivost "BOLA" kako bi razumjeli preferencije korisnika u pogledu tečajeva i pristrano utjecali na njihov izbor tečajeva.
Nadalje, vjeruje se i da su nedavno otkrivene ranjivosti mogle izložiti korisničke podatke prije nego što su zakrpe. Ove nedostatke otkrili su istraživači tvrtke za testiranje sigurnosti aplikacija Checkmarx i objavili ih prošli tjedan.
Ranjivosti se odnose na razna sučelja za programiranje aplikacija Coursere , a istraživači su odlučili dublje istražiti sigurnost Coursere zbog njezine rastuće popularnosti kroz prelazak na online rad i učenje uzrokovan pandemijom COVID-19.
Za one koji nisu upoznati s Courserom, trebali biste znati da je ovo tvrtka koja ima 82 milijuna korisnika i radi s više od 200 tvrtki i sveučilišta. Značajna partnerstva uključuju Sveučilište Illinois, Sveučilište Duke, Google, Sveučilište Michigan, International Business Machines, Imperial College London, Sveučilište Stanford i Sveučilište Pennsylvania.
Otkriveno je nekoliko problema s API-jem, uključujući nabrajanje korisnika/računa putem funkcije resetiranja lozinke, nedovoljne resurse koji ograničavaju GraphQL i REST API-je te neispravnu konfiguraciju GraphQL-a. Posebno se na vrhu popisa nalazi problem s neispravnom autorizacijom na razini objekta.
Pri interakciji s web aplikacijom Coursera kao redoviti korisnici (studenti) primijetili smo da su nedavno pregledani tečajevi prikazani u korisničkom sučelju. Da bismo predstavili ove informacije, otkrivamo više API GET zahtjeva za istu krajnju točku: /api/userPreferences.v1/[USER_ID-lex.europa.eu~[PREFERENCE_TYPE}.
Ranjivost BOLA API-ja opisana je kao nešto što utječe na korisničke postavke. Iskorištavanjem ove ranjivosti, čak i anonimni korisnici mogu dohvatiti postavke, pa čak i promijeniti ih. Neke postavke, poput nedavno pregledanih tečajeva i certifikata, također otkrivaju metapodatke. Nedostaci BOLA API-ja mogu otkriti krajnje točke koje obrađuju identifikatore objekata, što potencijalno otvara vrata širim napadima.
«Ova se ranjivost mogla zloupotrijebiti da bi se u velikoj mjeri razumjele preferencije tečaja općih korisnika, ali i da bi se na neki način iskrivio izbor korisnika, jer je manipulacija njihovim nedavnim aktivnostima utjecala na sadržaj prikazan na početnoj stranici Coursere za određeni korisnik ", objašnjavaju istraživači.
"Nažalost, problemi s autorizacijom prilično su česti kod API-ja", kažu istraživači. „Vrlo je važno centralizirati provjere kontrole pristupa u jednoj komponenti, dobro testiranoj, kontinuirano testiranoj i aktivno održavanoj. Nove API završne točke ili promjene postojećih treba pažljivo pregledati u odnosu na njihove sigurnosne zahtjeve. "
Istraživači su primijetili da su problemi s autorizacijom prilično česti kod API-ja i da je kao takvo važno centralizirati provjere valjanosti kontrole pristupa. To se mora provesti kroz jednu, dobro provjerenu i trajnu komponentu održavanja.
Otkrivene ranjivosti prijavljene su sigurnosnom timu tvrtke Coursera 5. listopada. Potvrda da je tvrtka primila izvješće i da radi na njemu stigla je 26. listopada. Coursera je potom pisala tvrtki Cherkmarx navodeći da su riješili probleme između 18. prosinca i 2. siječnja, a zatim su poslali izvješće o ponovnom testiranju s novim problemom. Konačno, 24. svibnja, Coursera je potvrdila da su svi problemi riješeni.
Unatoč prilično dugom vremenu od otkrivanja do ispravka, istraživači su rekli da je sigurnosni tim Coursere zadovoljstvo raditi.
"Njihova profesionalnost i suradnja, kao i brzo vlasništvo koje su preuzeli, ono su čemu se radujemo kad komuniciramo sa softverskim tvrtkama", zaključili su.
Izvor: https://www.checkmarx.com