En sårbarhet ble nylig oppdaget i den populære nettkursplattformen Coursera. Problemet stammet fra API-et, noe som førte til antagelsen om at hackere kan ha utnyttet sårbarheten «BOLA» for å forstå brukernes kurspreferanser og påvirke kursvalgene deres.
Videre antas det også at de nylig avslørte sårbarhetene kan ha eksponert brukerdata før de ble oppdatert. Disse feilene ble oppdaget av forskere ved applikasjonssikkerhetstestfirmaet Checkmarx og offentliggjort forrige uke.
Sårbarhetene er knyttet til en rekke av Courseras applikasjonsprogrammeringsgrensesnitt , og forskerne bestemte seg for å dykke dypere inn i Courseras sikkerhet på grunn av den økende populariteten gjennom overgangen til nettbasert arbeid og læring på grunn av COVID-19-pandemien.
For de som ikke er kjent med Coursera, bør du vite at dette er et selskap som har 82 millioner brukere og jobber med mer enn 200 selskaper og universiteter. Bemerkelsesverdige partnerskap inkluderer University of Illinois, Duke University, Google, University of Michigan, International Business Machines, Imperial College London, Stanford University og University of Pennsylvania.
Flere API-problemer ble oppdaget, inkludert bruker-/kontoopplisting via funksjonen for tilbakestilling av passord, utilstrekkelige ressurser som begrenser både GraphQL- og REST-API-ene, og feil GraphQL-konfigurasjon. Spesielt et problem med ødelagt autorisasjon på objektnivå topper listen.
Når vi kommuniserte med Coursera-nettapplikasjonen som vanlige brukere (studenter), la vi merke til at nylig viste kurs ble vist i brukergrensesnittet. For å representere denne informasjonen oppdager vi flere API GET-forespørsler til samme endepunkt: /api/userPreferences.v1/ [USER_ID-lex.europa.eu ~ [FORETRUKNING_TYPE}.
BOLA API-sårbarheten beskrives som en sårbarhet som påvirker brukerpreferanser. Ved å utnytte denne sårbarheten kan selv anonyme brukere hente preferanser og til og med endre dem. Noen preferanser, for eksempel nylig viste kurs og sertifiseringer, lekker også metadata. BOLA API-feil kan eksponere endepunkter som håndterer objektidentifikatorer, noe som potensielt åpner døren for bredere angrep.
«Dette sårbarheten kunne ha blitt misbrukt for å forstå kursinnstillingene til generelle brukere i stor skala, men også for å skjevbrukernes valg på en eller annen måte, ettersom manipuleringen av deres nylige aktivitet påvirket innholdet som ble presentert på hjemmesiden Coursera for en bestemt bruker, forklarer forskerne.
"Dessverre er autorisasjonsproblemer ganske vanlige med API-er," sier forskerne. “Det er veldig viktig å sentralisere validering av tilgangskontroll i en enkelt komponent, godt testet, kontinuerlig testet og aktivt vedlikeholdt. Nye API-endepunkter, eller endringer i eksisterende, bør gjennomgås nøye i forhold til deres sikkerhetskrav. "
Forskerne bemerket at autorisasjonsproblemer er ganske vanlige med API-er, og det er derfor viktig å sentralisere validering av tilgangskontroll. Dette må skje gjennom en enkelt, velprøvd og kontinuerlig vedlikeholdskomponent.
De oppdagede sårbarhetene ble sendt til Courseras sikkerhetsteam 5. oktober. Bekreftelse på at selskapet mottok rapporten og jobbet med den kom 26. oktober. Coursera skrev deretter til Cherkmarx og opplyste at de hadde løst problemene mellom 18. desember og 2. januar, og sendte deretter inn en ny testrapport med et nytt problem. Til slutt, 24. mai, bekreftet Coursera at alle problemene var løst.
Til tross for den ganske lange tiden fra avsløring til korreksjon, sa forskerne at Coursera sikkerhetsteam var en glede å jobbe med.
"Deres profesjonalitet og samarbeid, så vel som det raske eierskapet de påtok seg, er det vi ser frem til når vi samarbeider med programvareselskaper," konkluderte de.
Kilde: https://www.checkmarx.com