לאחרונה התגלתה פגיעות בפלטפורמת הקורסים המקוונת הפופולרית Coursera. הבעיה נבעה מממשק ה-API, מה שהוביל לאמונה כי האקרים ניצלו את פגיעות ה-"BOLA" כדי להבין את העדפות הקורסים של המשתמשים ולהטות את בחירותיהם.
יתר על כן, ההערכה היא כי ייתכן שהפגיעויות שנחשפו לאחרונה חשפו נתוני משתמשים לפני שתוקנו. פגמים אלה התגלו על ידי חוקרים בחברת בדיקות אבטחת היישומים Checkmarx ופורסמו בשבוע שעבר.
הפגיעויות קשורות למגוון ממשקי תכנות יישומים של Coursera , והחוקרים החליטו להתעמק באבטחה של Coursera עקב הפופולריות הגוברת שלה בעקבות המעבר לעבודה ולמידה מקוונות עקב מגפת הקורונה.
למי שלא מכיר את Coursera, כדאי שתדעו שמדובר בחברה שמונה 82 מיליון משתמשים ועובדת עם יותר מ 200 חברות ואוניברסיטאות. שותפויות בולטות כוללות את אוניברסיטת אילינוי, אוניברסיטת דיוק, גוגל, אוניברסיטת מישיגן, מכונות עסק בינלאומיות, אימפריאל קולג 'בלונדון, אוניברסיטת סטנפורד ואוניברסיטת פנסילבניה.
התגלו מספר בעיות ב-API, כולל ספירת משתמשים/חשבונות באמצעות פונקציית איפוס הסיסמה, משאבים לא מספקים המגבילים הן את ממשקי ה-API של GraphQL והן את ממשקי ה-API של REST, ותצורה שגויה של GraphQL. בפרט, בעיית הרשאה פגומה ברמת האובייקט בראש הרשימה.
כאשר אינטראקציה עם יישום האינטרנט Coursera כמשתמשים רגילים (סטודנטים), שמנו לב כי קורסים שנצפו לאחרונה הוצגו בממשק המשתמש. כדי לייצג מידע זה, אנו מזהים מספר בקשות של GET API לאותה נקודת קצה: /api/userPreferences.v1/ [USER_ID-lex.europa.eu ~ [PREFERENCE_TYPE}.
פגיעות ה-BOLA API מתוארת כמשפיעה על העדפות המשתמש. על ידי ניצול פגיעות זו, אפילו משתמשים אנונימיים יכולים לאחזר העדפות ואף לשנות אותן. העדפות מסוימות, כגון קורסים והסמכות שנצפו לאחרונה, גם מדליפות מטא-נתונים. פגמים ב-BOLA API יכולים לחשוף נקודות קצה המטפלות במזהי אובייקטים, דבר שעלול לפתוח את הדלת להתקפות רחבות יותר.
"ניתן היה לעשות שימוש לרעה בפגיעות זו בכדי להבין את העדפות הקורס של משתמשים כלליים בקנה מידה גדול, אך גם כדי להטות את בחירות המשתמשים בדרך כלשהי, מכיוון שהמניפולציה בפעילותם האחרונה השפיעה על התוכן המוצג בדף הבית Coursera עבור ספציפי המשתמש, "מסבירים החוקרים.
"למרבה הצער, בעיות הרשאה נפוצות למדי עם ממשקי API," אומרים החוקרים. "חשוב מאוד לרכז אימות בקרת גישה ברכיב יחיד, נבדק היטב, נבדק ברציפות ומתוחזק באופן פעיל. יש לבחון בקפידה נקודות קצה חדשות של API, או שינויים בקיימים, בהתאם לדרישות האבטחה שלהן. "
החוקרים ציינו כי בעיות הרשאות נפוצות למדי עם ממשקי API וכי ככזה חשוב לרכז אימות בקרת גישה. פעולה זו חייבת להיעשות באמצעות מרכיב תחזוקה יחיד, נבדק ומתמשך.
הפגיעויות שהתגלו הוגשו לצוות האבטחה של Coursera ב-5 באוקטובר. אישור שהחברה קיבלה את הדוח ועובדת עליו הגיע ב-26 באוקטובר. לאחר מכן, Coursera כתבה לצ'רקמרקס וציינה כי פתרו את הבעיות בין ה-18 בדצמבר ל-2 בינואר, ולאחר מכן הגישה דוח בדיקה חוזרת עם בעיה חדשה. לבסוף, ב-24 במאי, Coursera אישרה כי כל הבעיות תוקנו.
למרות הזמן הארוך למדי מגילוי ועד תיקון, החוקרים אמרו שצוות האבטחה של קורסרה היה תענוג לעבוד איתו.
"המקצועיות שלהם ושיתוף הפעולה שלהם, כמו גם הבעלות המהירה שהם לקחו על עצמם, הם מה שאנחנו מצפים לעצמנו כאשר אנו מתקשרים עם חברות תוכנה", סיכמו.
מקור: https://www.checkmarx.com