Niedawno odkryto lukę w zabezpieczeniach popularnej platformy kursów online Coursera. Problem wynikał z interfejsu API, co doprowadziło do podejrzeń, że hakerzy mogli wykorzystać lukę w zabezpieczeniach „BOLA”, aby zrozumieć preferencje użytkowników dotyczące kursów i wpływać na ich wybór.
Co więcej, uważa się również, że niedawno ujawnione luki mogły ujawnić dane użytkowników, zanim zostały załatane. Luki te zostały odkryte przez badaczy z firmy Checkmarx, zajmującej się testowaniem bezpieczeństwa aplikacji , i upublicznione w zeszłym tygodniu.
Luki dotyczą różnych interfejsów programowania aplikacji Coursera , a badacze postanowili dokładniej przeanalizować bezpieczeństwo Coursera ze względu na rosnącą popularność tej platformy w związku z przejściem na pracę i naukę online z powodu pandemii COVID-19.
Ci, którzy nie są zaznajomieni z Coursera, powinni wiedzieć, że jest to firma, która ma 82 miliony użytkowników i współpracuje z ponad 200 firmami i uczelniami. Godne uwagi partnerstwa obejmują University of Illinois, Duke University, Google, University of Michigan, International Business Machines, Imperial College London, Stanford University i University of Pennsylvania.
Odkryto kilka problemów z API, w tym enumerację użytkowników/kont za pomocą funkcji resetowania hasła, niewystarczające zasoby ograniczające zarówno API GraphQL, jak i REST, oraz nieprawidłową konfigurację GraphQL. Na szczycie listy znajduje się w szczególności problem z autoryzacją na poziomie obiektu.
Podczas interakcji z aplikacją internetową Coursera jako zwykli użytkownicy (studenci), zauważyliśmy, że ostatnio przeglądane kursy były wyświetlane w interfejsie użytkownika. Aby przedstawić te informacje, wykrywamy wiele żądań API GET do tego samego punktu końcowego: /api/userPreferences.v1/[USER_ID-lex.europa.eu~[PREFERENCE_TYPE}.
Luka w zabezpieczeniach interfejsu API BOLA ma wpływ na preferencje użytkownika. Wykorzystując tę lukę, nawet anonimowi użytkownicy mogliby uzyskać dostęp do preferencji, a nawet je zmienić. Niektóre preferencje, takie jak ostatnio oglądane kursy i certyfikaty, mogą również powodować wyciek metadanych. Luki w zabezpieczeniach interfejsu API BOLA mogą ujawnić punkty końcowe obsługujące identyfikatory obiektów, co potencjalnie otwiera drogę do szerszych ataków.
„Ta luka mogła zostać wykorzystana do zrozumienia preferencji kursów ogólnych użytkowników na dużą skalę, ale także do wypaczenia wyborów użytkowników w pewien sposób, ponieważ manipulacja ich niedawną aktywnością wpłynęła na treści prezentowane na stronie głównej Coursera dla konkretnego użytkownik ”- wyjaśniają naukowcy.
„Niestety problemy z autoryzacją są dość powszechne w przypadku interfejsów API” – mówią naukowcy. „Bardzo ważne jest scentralizowanie walidacji kontroli dostępu w jednym komponencie, dobrze przetestowanym, stale testowanym i aktywnie utrzymywanym. Nowe punkty końcowe interfejsu API lub zmiany w istniejących powinny być dokładnie sprawdzane pod kątem ich wymagań bezpieczeństwa.”
Naukowcy zauważyli, że problemy z autoryzacją są dość powszechne w przypadku interfejsów API i dlatego ważne jest scentralizowanie walidacji kontroli dostępu. Należy to zrobić za pomocą jednego, dobrze przetestowanego i ciągłego komponentu konserwacji.
Odkryte luki w zabezpieczeniach zostały zgłoszone zespołowi ds. bezpieczeństwa Coursera 5 października. Potwierdzenie, że firma otrzymała raport i pracuje nad jego rozwiązaniem, nadeszło 26 października. Coursera następnie napisała do Cherkmarx, informując, że problemy zostały rozwiązane między 18 grudnia a 2 stycznia, a następnie przesłała raport z ponownego testu z nowym problemem. Ostatecznie, 24 maja, Coursera potwierdziła, że wszystkie problemy zostały naprawione.
Pomimo dość długiego czasu od ujawnienia do korekty, naukowcy stwierdzili, że praca z zespołem ds. bezpieczeństwa Coursera była przyjemnością.
„Ich profesjonalizm i współpraca, a także szybka własność, którą przejęli, są tym, na co czekamy, gdy współpracujemy z firmami programistycznymi” – podsumowali.
Źródło: https://www.checkmarx.com