Satu kelemahan baru-baru ini ditemui dalam platform kursus dalam talian popular Coursera. Masalahnya berpunca daripada API, yang membawa kepada kepercayaan bahawa penggodam mungkin telah mengeksploitasi kelemahan "BOLA" untuk memahami pilihan kursus pengguna dan memberi bias kepada pilihan kursus mereka.
Tambahan pula, dipercayai juga bahawa kelemahan yang didedahkan baru-baru ini mungkin telah mendedahkan data pengguna sebelum diperbaiki. Kelemahan ini ditemui oleh penyelidik di syarikat pengujian keselamatan aplikasi Checkmarx dan didedahkan kepada umum minggu lalu.
Kerentanan tersebut berkaitan dengan pelbagai antara muka pengaturcaraan aplikasi Coursera , dan para penyelidik memutuskan untuk menyelidiki lebih mendalam tentang keselamatan Coursera disebabkan oleh popularitinya yang semakin meningkat melalui peralihan kepada kerja dan pembelajaran dalam talian disebabkan oleh pandemik COVID-19.
Bagi mereka yang tidak biasa dengan Coursera, anda harus tahu bahawa ini adalah syarikat yang mempunyai 82 juta pengguna dan bekerja dengan lebih daripada 200 syarikat dan universiti. Perkongsian terkenal termasuk Universiti Illinois, Duke University, Google, University of Michigan, International Business Machines, Imperial College London, Stanford University, dan University of Pennsylvania.
Beberapa isu API telah ditemui, termasuk penghitungan pengguna/akaun melalui fungsi penetapan semula kata laluan, sumber yang tidak mencukupi yang mengehadkan API GraphQL dan REST, dan konfigurasi GraphQL yang salah. Khususnya, isu kebenaran peringkat objek yang rosak merupakan perkara utama yang menjadi keutamaan.
Semasa berinteraksi dengan aplikasi web Coursera sebagai pengguna biasa (pelajar), kami melihat bahawa kursus yang dilihat baru-baru ini dipaparkan di antara muka pengguna. Untuk mewakili maklumat ini, kami mengesan beberapa permintaan API GET ke titik akhir yang sama: /api/userPreferences.v1/[USER_ID-lex.europa.eu~[PREFERENCE_TYPE}.
Kerentanan API BOLA digambarkan sebagai mempengaruhi pilihan pengguna. Dengan mengeksploitasi kerentanan ini, pengguna tanpa nama pun boleh mendapatkan pilihan dan juga mengubahnya. Sesetengah pilihan, seperti kursus dan pensijilan yang dilihat baru-baru ini, juga membocorkan metadata. Kecacatan API BOLA boleh mendedahkan titik akhir yang mengendalikan pengecam objek, berpotensi membuka pintu kepada serangan yang lebih luas.
«Kerentanan ini dapat disalahgunakan untuk memahami pilihan kursus pengguna umum dalam skala besar, tetapi juga untuk menolak pilihan pengguna dalam beberapa cara, kerana manipulasi aktiviti baru-baru ini mempengaruhi kandungan yang disajikan di halaman utama Coursera untuk sesuatu yang spesifik pengguna, ”jelas penyelidik.
"Malangnya, masalah pengesahan agak biasa dengan API," kata para penyelidik. "Sangat penting untuk memusatkan pengesahan kawalan akses dalam satu komponen, diuji dengan baik, diuji secara berterusan dan dikendalikan secara aktif. Titik akhir API baru, atau perubahan pada yang ada, harus dikaji dengan teliti terhadap syarat keselamatannya. "
Para penyelidik menyatakan bahawa masalah pengesahan cukup umum dengan API dan oleh itu penting untuk memusatkan pengesahan kawalan akses. Melakukannya mesti melalui satu komponen penyelenggaraan yang teruji, dan berterusan.
Kerentanan yang ditemui telah diserahkan kepada pasukan keselamatan Coursera pada 5 Oktober. Pengesahan bahawa syarikat itu menerima laporan tersebut dan sedang mengusahakannya datang pada 26 Oktober. Coursera kemudiannya menulis surat kepada Cherkmarx menyatakan bahawa mereka telah menyelesaikan isu-isu tersebut antara 18 Disember dan 2 Januari, dan kemudian mengemukakan laporan ujian semula dengan masalah baharu. Akhirnya, pada 24 Mei, Coursera mengesahkan bahawa semua isu telah dibaiki.
Walaupun masa yang agak lama dari pendedahan hingga pembetulan, para penyelidik mengatakan pasukan keselamatan Coursera senang bekerja sama.
"Profesionalisme dan kerjasama mereka, serta kepemilikan cepat yang mereka anggap, adalah apa yang kami nantikan ketika terlibat dengan perusahaan perisian," mereka menyimpulkan.
Sumber: https://www.checkmarx.com