O vulnerabilitate în API-ul Coursera ar putea permite scurgerea datelor utilizatorilor

Acum cateva zile o vulnerabilitate a fost dezvăluită în platforma populară de cursuri online Coursera și este că problema pe care o avea era în API, așa că Se crede că este foarte posibil ca hackerii să fi abuzat de vulnerabilitatea „BOLA” pentru a înțelege preferințele cursului utilizatorilor, precum și pentru a distorsiona opțiunile cursului unui utilizator.

În plus, se crede că vulnerabilitățile dezvăluite recent ar fi putut expune datele utilizatorilor înainte de a fi reparate. Aceste defectele au fost descoperite de cercetătorii din compania de testare a securității aplicațiilor Checkmarx și publicat în ultima săptămână.

Vulnerabilități se referă la o varietate de interfețe de programare a aplicației Coursera iar cercetătorii au decis să pătrundă în securitatea Coursera datorită popularității sale în creștere prin trecerea la locul de muncă și învățarea online din cauza pandemiei COVID-19.

Pentru cei care nu sunt familiarizați cu Coursera, trebuie să știți că aceasta este o companie care are 82 de milioane de utilizatori și lucrează cu mai mult de 200 de companii și universități. Parteneriatele notabile includ Universitatea din Illinois, Universitatea Duke, Google, Universitatea din Michigan, International Business Machines, Imperial College London, Universitatea Stanford și Universitatea din Pennsylvania.

Au fost descoperite diverse probleme API, inclusiv enumerarea utilizatorului / contului prin funcția de resetare a parolei, lipsa resurselor care limitează atât API-ul GraphQL cât și REST și configurația incorectă GraphQL. În special, o problemă de autorizare la nivel de obiect defectă se află în fruntea listei.

Când interacționăm cu aplicația web Coursera ca utilizatori obișnuiți (studenți), am observat că cursurile vizualizate recent au fost afișate în interfața cu utilizatorul. Pentru a reprezenta aceste informații, detectăm mai multe solicitări API GET către același punct final: /api/userPreferences.v1/[USER_ID-lex.europa.eu~[PREFERENCE_TYPE}.

Vulnerabilitatea API BOLA este descrisă ca preferințe de utilizator afectate. Profitând de vulnerabilitate, chiar și utilizatorii anonimi au putut recupera preferințele, dar și le pot schimba. Unele dintre preferințe, cum ar fi cursurile și certificările vizualizate recent, filtrează, de asemenea, unele metadate. Defectele BOLA în API pot expune puncte finale care gestionează identificatorii obiectelor, care ar putea deschide ușa atacurilor mai largi.

«Această vulnerabilitate ar fi putut fi abuzată pentru a înțelege preferințele de curs ale utilizatorilor generali pe scară largă, dar și pentru a distorsiona alegerile utilizatorilor într-un fel, deoarece manipularea activității lor recente a afectat conținutul prezentat pe pagina de start Coursera pentru un anumit utilizator ”, explică cercetătorii.

„Din păcate, problemele de autorizare sunt destul de frecvente cu API-urile”, spun cercetătorii. „Este foarte important să centralizăm validările controlului accesului într-o singură componentă, bine testată, testată continuu și întreținută activ. Noile puncte finale API sau modificările aduse celor existente ar trebui revizuite cu atenție în funcție de cerințele lor de securitate. "

Cercetătorii au menționat că problemele de autorizare sunt destul de frecvente cu API-urile și că, ca atare, este important să centralizăm validările controlului accesului. Acest lucru trebuie să se facă printr-o componentă de întreținere unică, bine testată și continuă.

Vulnerabilitățile descoperite au fost trimise echipei de securitate a Coursera pe 5 octombrie. Confirmarea că compania a primit raportul și lucrează la acesta a venit pe 26 octombrie, iar Coursera a scris ulterior lui Cherkmarx spunând că au rezolvat problemele pe 18 decembrie până pe 2 ianuarie, iar Coursera a trimis apoi un raport de test nou cu o nouă problemă. In cele din urma, Pe 24 mai, Coursera a confirmat că toate problemele au fost rezolvate.

În ciuda timpului destul de îndelungat de la dezvăluire până la corectare, cercetătorii au spus că echipa de securitate Coursera a fost o plăcere să colaboreze.

„Profesionalismul și cooperarea lor, precum și proprietatea rapidă pe care și-au asumat-o, este ceea ce așteptăm cu nerăbdare atunci când angajăm cu companii de software”, au concluzionat ei.

Fuente: https://www.checkmarx.com


Conținutul articolului respectă principiile noastre de etică editorială. Pentru a raporta o eroare, faceți clic pe aici.

Fii primul care comenteaza

Lasă comentariul tău

Adresa ta de email nu va fi publicată. Câmpurile obligatorii sunt marcate cu *

*

*

  1. Responsabil pentru date: Miguel Ángel Gatón
  2. Scopul datelor: Control SPAM, gestionarea comentariilor.
  3. Legitimare: consimțământul dvs.
  4. Comunicarea datelor: datele nu vor fi comunicate terților decât prin obligație legală.
  5. Stocarea datelor: bază de date găzduită de Occentus Networks (UE)
  6. Drepturi: în orice moment vă puteți limita, recupera și șterge informațiile.