Nemrégiben sebezhetőséget fedeztek fel a népszerű online kurzusplatformon, a Courserán. A probléma az API-ból eredt, ami arra engedett következtetni , hogy a hackerek kihasználhatták a „BOLA” sebezhetőséget, hogy megértsék a felhasználók kurzuspreferenciáit, és befolyásolják a kurzusválasztásukat.
Továbbá úgy vélik, hogy a nemrég feltárt sebezhetőségek a javítások előtt felhasználói adatokat is kiszivárogtathattak. Ezeket a hibákat a Checkmarx alkalmazásbiztonsági tesztelő cég kutatói fedezték fel , és tették közzé a múlt héten.
A sebezhetőségek a Coursera számos alkalmazásprogramozási felületéhez kapcsolódnak , és a kutatók úgy döntöttek, hogy mélyebben beleássák magukat a Coursera biztonságába, mivel a COVID-19 világjárvány miatt az online munka és tanulás felé való elmozdulás miatt egyre népszerűbb lett.
Azok számára, akik nem ismerik a Coursera-t, tudnia kell, hogy ez egy olyan vállalat, amelynek 82 millió felhasználója van, és több mint 200 céggel és egyetemmel dolgozik. Figyelemre méltó partnerségek közé tartozik az Illinoisi Egyetem, a Duke Egyetem, a Google, a Michigani Egyetem, a Nemzetközi Üzleti Gépek, a londoni Imperial College, a Stanfordi Egyetem és a Pennsylvaniai Egyetem.
Számos API-problémát fedeztek fel, beleértve a felhasználók/fiókok felsorolását a jelszó-visszaállítási funkción keresztül, a GraphQL és a REST API-kat korlátozó elégtelen erőforrásokat, valamint a helytelen GraphQL-konfigurációt. Különösen egy hibás objektumszintű jogosultságkezelési probléma vezeti a listát.
Amikor a Coursera webalkalmazással rendszeres felhasználóként (hallgatókként) lépett kapcsolatba, észrevettük, hogy a közelmúltban megtekintett tanfolyamok megjelennek a felhasználói felületen. Ezen információk ábrázolásához több API GET kérést észlelünk ugyanarra a végpontra: /api/userPreferences.v1/[USER_ID-lex.europa.eu~~PREFERENCE_TYPE}.
A BOLA API sebezhetőségét a felhasználói beállításokat befolyásoló tényezőként írják le. A sebezhetőség kihasználásával még a névtelen felhasználók is lekérhetik, sőt módosíthatják a beállításokat. Egyes beállítások, például a nemrég megtekintett kurzusok és tanúsítványok metaadatokat is szivárogtathatnak. A BOLA API hibái olyan végpontokat tehetnek elérhetővé , amelyek objektumazonosítókat kezelnek, potenciálisan megnyitva az utat a szélesebb körű támadások előtt.
„Ezzel a sérülékenységgel vissza lehetett volna élni az általános felhasználók pálya-preferenciáinak széles körű megértése, valamint a felhasználók döntéseinek valamilyen módon való torzítása érdekében, mivel a közelmúltbeli tevékenységük manipulálása kihatással volt a Coursera honlapon megjelenő tartalomra egy adott felhasználó ”- magyarázzák a kutatók.
"Sajnos az engedélyezési problémák meglehetősen gyakoriak az API-knál" - állítják a kutatók. „Nagyon fontos a beléptető ellenőrzések központosítása egyetlen alkatrészbe, jól tesztelve, folyamatosan tesztelve és aktívan karbantartva. Az új API-végpontokat vagy a meglévők módosításait gondosan felül kell vizsgálni a biztonsági követelményekkel összhangban. "
A kutatók megjegyezték, hogy az engedélyezési problémák meglehetősen gyakoriak az API-knál, és ezért fontos a hozzáférés-ellenőrzés érvényesítésének központosítása. Ezt egyetlen, jól tesztelt és folyamatos karbantartási alkatrészen keresztül kell elvégezni.
A felfedezett sebezhetőségeket október 5-én jelentették a Coursera biztonsági csapatának. Október 26-án megerősítést kaptak arról, hogy a cég megkapta a jelentést és dolgozik rajta. A Coursera ezt követően levelet írt a Cherkmarxnak, amelyben kijelentették, hogy december 18. és január 2. között megoldották a problémákat, majd egy új tesztjelentést nyújtottak be egy új problémával. Végül május 24-én a Coursera megerősítette, hogy minden problémát kijavítottak.
Annak ellenére, hogy a nyilvánosságra hozataltól a korrekcióig meglehetősen hosszú idő állt rendelkezésre, a kutatók szerint a Coursera biztonsági csapata örömmel dolgozott.
"Professzionalizmusuk és együttműködésük, valamint a vállalt gyors tulajdonosi viszonyok az, amire számítunk, amikor kapcsolatba lépünk a szoftvercégekkel" - fejezték be.
Forrás: https://www.checkmarx.com