Recentemente è stata scoperta una vulnerabilità nella popolare piattaforma di corsi online Coursera. Il problema derivava dall'API, e si ritiene che gli hacker possano aver sfruttato la vulnerabilità "BOLA" per comprendere le preferenze degli utenti in merito ai corsi e influenzare le loro scelte.
Inoltre, si ritiene che le vulnerabilità recentemente scoperte possano aver esposto i dati degli utenti prima di essere corrette. Queste falle sono state scoperte dai ricercatori della società di test di sicurezza delle applicazioni Checkmarx e rese pubbliche la scorsa settimana.
Le vulnerabilità riguardano diverse interfacce di programmazione delle applicazioni (API) di Coursera , e i ricercatori hanno deciso di approfondire la sicurezza della piattaforma a causa della sua crescente popolarità, dovuta al passaggio al lavoro e all'apprendimento online a seguito della pandemia di COVID-19.
Per chi non conosce Coursera, sappiate che si tratta di un'azienda che ha 82 milioni di utenti e lavora con più di 200 aziende e università. Partnership degne di nota includono l'Università dell'Illinois, la Duke University, Google, l'Università del Michigan, International Business Machines, l'Imperial College di Londra, la Stanford University e l'Università della Pennsylvania.
Sono stati rilevati diversi problemi relativi alle API, tra cui l'enumerazione di utenti/account tramite la funzione di reimpostazione della password, risorse insufficienti che limitano sia le API GraphQL che REST e una configurazione GraphQL errata. In particolare, un problema di autorizzazione a livello di oggetto non funzionante è in cima alla lista.
Interagendo con l'applicazione web Coursera come utenti regolari (studenti), abbiamo notato che i corsi visualizzati di recente venivano visualizzati nell'interfaccia utente. Per rappresentare queste informazioni, rileviamo più richieste API GET allo stesso endpoint: /api/userPreferences.v1/[USER_ID-lex.europa.eu~[PREFERENCE_TYPE}.
La vulnerabilità dell'API BOLA riguarda le preferenze dell'utente. Sfruttando questa vulnerabilità, anche utenti anonimi potrebbero recuperare le preferenze e persino modificarle. Alcune preferenze, come i corsi e le certificazioni visualizzati di recente, espongono anche metadati. Le falle dell'API BOLA possono esporre endpoint che gestiscono identificatori di oggetti, aprendo potenzialmente la strada ad attacchi più ampi.
“Si sarebbe potuto abusare di questa vulnerabilità per comprendere le preferenze di corso degli utenti generici su larga scala, ma anche per distorcere in qualche modo le scelte degli utenti, poiché la manipolazione della loro attività recente ha interessato i contenuti presentati sulla home page di Coursera per uno specifico utente ", spiegano i ricercatori.
"Sfortunatamente, i problemi di autorizzazione sono abbastanza comuni con le API", affermano i ricercatori. “È molto importante centralizzare le convalide del controllo degli accessi in un unico componente, ben testato, continuamente testato e mantenuto attivamente. I nuovi endpoint API o le modifiche a quelli esistenti dovrebbero essere attentamente esaminati rispetto ai loro requisiti di sicurezza. "
I ricercatori hanno notato che i problemi di autorizzazione sono abbastanza comuni con le API e che in quanto tali è importante centralizzare le convalide del controllo degli accessi. Ciò deve essere fatto attraverso un singolo componente di manutenzione ben testato e continuo.
Le vulnerabilità scoperte sono state segnalate al team di sicurezza di Coursera il 5 ottobre. La conferma della ricezione del rapporto e dell'avvio delle procedure di risoluzione è arrivata il 26 ottobre. Successivamente, Coursera ha scritto a Cherkmarx affermando di aver risolto i problemi tra il 18 dicembre e il 2 gennaio, per poi inviare un nuovo rapporto di test con un problema inedito. Infine, il 24 maggio, Coursera ha confermato che tutti i problemi erano stati risolti.
Nonostante il tempo abbastanza lungo dalla divulgazione alla correzione, i ricercatori hanno affermato che è stato un piacere lavorare con il team di sicurezza di Coursera.
"La loro professionalità e cooperazione, così come la rapida proprietà che hanno assunto, è ciò che attendiamo con impazienza quando ci impegniamo con le società di software", hanno concluso.
Fonte: https://www.checkmarx.com