Onlangs is er een kwetsbaarheid ontdekt in het populaire online cursusplatform Coursera. Het probleem zat in de API, wat leidt tot het vermoeden dat hackers de "BOLA"-kwetsbaarheid hebben misbruikt om de cursusvoorkeuren van gebruikers te achterhalen en hun cursuskeuzes te beïnvloeden.
Bovendien wordt aangenomen dat de recent ontdekte kwetsbaarheden mogelijk gebruikersgegevens hebben blootgesteld voordat ze werden verholpen. Deze kwetsbaarheden werden ontdekt door onderzoekers van het bedrijf Checkmarx, dat gespecialiseerd is in het testen van applicatiebeveiliging, en werden vorige week openbaar gemaakt.
De kwetsbaarheden hebben betrekking op verschillende API's van Coursera , en de onderzoekers besloten de beveiliging van Coursera nader te onderzoeken vanwege de groeiende populariteit van het platform door de verschuiving naar online werken en leren als gevolg van de COVID-19-pandemie.
Voor degenen die niet bekend zijn met Coursera, je moet weten dat dit een bedrijf is met 82 miljoen gebruikers en werkt met meer dan 200 bedrijven en universiteiten. Opmerkelijke samenwerkingsverbanden zijn onder meer de University of Illinois, Duke University, Google, de University of Michigan, International Business Machines, Imperial College London, Stanford University en de University of Pennsylvania.
Er werden diverse API-problemen ontdekt, waaronder het opsommen van gebruikers/accounts via de wachtwoordherstelfunctie, onvoldoende resources die zowel de GraphQL- als de REST-API's beperkten, en een onjuiste GraphQL-configuratie. Met name een defecte autorisatie op objectniveau staat bovenaan de lijst.
Bij interactie met de Coursera-webapplicatie als reguliere gebruikers (studenten), merkten we dat recent bekeken cursussen in de gebruikersinterface werden weergegeven. Om deze informatie weer te geven, detecteren we meerdere API GET-verzoeken naar hetzelfde eindpunt: /api/userPreferences.v1/[USER_ID-lex.europa.eu~[PREFERENCE_TYPE}.
De kwetsbaarheid in de BOLA API wordt beschreven als een probleem dat gebruikersvoorkeuren beïnvloedt. Door deze kwetsbaarheid te misbruiken, kunnen zelfs anonieme gebruikers voorkeuren opvragen en zelfs wijzigen. Sommige voorkeuren, zoals recent bekeken cursussen en certificaten, lekken ook metadata. Fouten in de BOLA API kunnen eindpunten blootleggen die object-ID's verwerken, waardoor mogelijk de deur wordt geopend voor bredere aanvallen.
«Deze kwetsbaarheid had kunnen worden misbruikt om de cursusvoorkeuren van algemene gebruikers op grote schaal te begrijpen, maar ook om de keuzes van gebruikers op de een of andere manier te vertekenen, aangezien de manipulatie van hun recente activiteit de inhoud die op de startpagina Coursera voor een specifieke gebruiker”, leggen de onderzoekers uit.
"Helaas komen autorisatieproblemen vrij vaak voor bij API's", zeggen de onderzoekers. “Het is erg belangrijk om toegangscontrolevalidaties te centraliseren in één onderdeel, goed getest, continu getest en actief onderhouden. Nieuwe API-eindpunten, of wijzigingen aan bestaande, moeten zorgvuldig worden getoetst aan hun beveiligingsvereisten."
De onderzoekers merkten op dat autorisatieproblemen vrij vaak voorkomen bij API's en dat het daarom belangrijk is om toegangscontrolevalidaties te centraliseren. Dit moet gebeuren via een enkele, goed geteste en doorlopende onderhoudscomponent.
De ontdekte kwetsbaarheden werden op 5 oktober gemeld aan het beveiligingsteam van Coursera. Op 26 oktober werd bevestigd dat het bedrijf het rapport had ontvangen en eraan werkte. Vervolgens schreef Coursera aan Cherkmarx dat de problemen tussen 18 december en 2 januari waren opgelost, waarna een hertestrapport met een nieuw probleem werd ingediend. Ten slotte bevestigde Coursera op 24 mei dat alle problemen waren verholpen.
Ondanks de vrij lange tijd van openbaarmaking tot correctie, zeiden de onderzoekers dat het Coursera-beveiligingsteam een plezier was om mee samen te werken.
"Hun professionaliteit en samenwerking, evenals het snelle eigenaarschap dat ze op zich namen, is waar we naar uitkijken als we met softwarebedrijven in zee gaan", concludeerden ze.
Bron: https://www.checkmarx.com