O vulnerabilitate în API-ul Coursera ar putea permite scurgerea datelor utilizatorilor

Acum cateva zile O vulnerabilitate a fost dezvăluită în populara platformă de cursuri online Coursera iar problema pe care o avea a fost în API, deci Se crede că este foarte posibil ca hackerii să fi abuzat de vulnerabilitatea „BOLA”. pentru a înțelege preferințele de curs ale utilizatorilor, precum și pentru a influența alegerile de curs ale utilizatorului.

În plus, se crede că vulnerabilitățile recent dezvăluite ar fi putut expune datele utilizatorilor înainte de a fi corectate. Aceste defecte au fost descoperite de cercetătorii din compania de testare a securității aplicațiilor Checkmarx și publicat în ultima săptămână.

Vulnerabilități se referă la o varietate de interfețe de programare a aplicațiilor Coursera iar cercetătorii au decis să aprofundeze securitatea Coursera datorită popularității sale tot mai mari prin trecerea la munca și învățarea online din cauza pandemiei COVID-19.

Pentru cei care nu știu despre Coursera, trebuie să știți că aceasta este o companie care are 82 de milioane de utilizatori și lucrează cu peste 200 de companii și universități. Parteneriatele notabile includ Universitatea din Illinois, Universitatea Duke, Google, Universitatea din Michigan, International Business Machines, Imperial College London, Universitatea Stanford și Universitatea din Pennsylvania.

Au fost descoperite mai multe probleme API, inclusiv enumerarea utilizatorului/contului prin funcția de resetare a parolei, lipsa resurselor care limitează atât API-urile GraphQL, cât și REST și configurația incorectă a GraphQL. În special, o problemă de autorizare la nivel de obiect întreruptă se află în fruntea listei.

Când interacționăm cu aplicația web Coursera ca utilizatori obișnuiți (studenți), am observat că cursurile vizualizate recent erau afișate în interfața cu utilizatorul. Pentru a reprezenta aceste informații, detectăm mai multe solicitări GET API către același punct final: /api/userPreferences.v1/{USER_ID}~{PREFERENCE_TYPE}.

Vulnerabilitatea API-ului BOLA este descrisă drept preferințe ale utilizatorului afectate. Prin exploatarea vulnerabilității, chiar și utilizatorii anonimi au putut să recupereze preferințele, dar și să le modifice. Unele dintre preferințe, cum ar fi cursurile și certificările vizualizate recent, scurg și unele metadate. Defectele BOLA ale API-urilor pot expune punctele finale care gestionează identificatorii de obiecte, care ar putea deschide ușa către atacuri mai largi.

„Această vulnerabilitate ar fi putut fi abuzată pentru a înțelege preferințele de curs ale utilizatorilor generali la scară largă, dar și pentru a distorsiona cumva alegerile utilizatorilor, deoarece manipularea activității lor recente a afectat conținutul prezentat pe pagina de start a Coursera pentru un anumit utilizator. ”, explică cercetătorii.

„Din păcate, problemele de autorizare sunt destul de comune cu API-urile”, spun cercetătorii. „Este foarte important să centralizăm validările de control al accesului într-o singură componentă, bine testată, testată continuu și întreținută activ. „Noile puncte finale API sau modificările celor existente ar trebui să fie analizate cu atenție în raport cu cerințele lor de securitate.”

Cercetătorii au remarcat că problemele de autorizare sunt destul de comune cu API-urile și, ca atare, este importantă centralizarea validărilor de control al accesului. Acest lucru trebuie să se facă printr-o componentă unică, bine testată și întreținută continuu.

Vulnerabilitățile descoperite au fost transmise echipei de securitate a Coursera pe 5 octombrie. Confirmarea că compania a primit raportul și că lucrează la el a venit pe 26 octombrie, iar Coursera i-a scris ulterior lui Cherkmarx spunând că au rezolvat problemele între 18 decembrie și 2 ianuarie, iar Coursera a trimis apoi un nou test de raport cu o nouă problemă. In cele din urma, Pe 24 mai, Coursera a confirmat că toate problemele au fost rezolvate.

În ciuda termenului destul de lung de la dezvăluire până la remediere, cercetătorii au spus că a fost o plăcere să lucrez cu echipa de securitate a Coursera.

„Profesionalismul și cooperarea lor, precum și responsabilitatea rapidă pe care și-au asumat-o, este ceea ce ne așteptăm atunci când ne angajăm cu companii de software”, au concluzionat ei.

Fuente: https://www.checkmarx.com


Fii primul care comenteaza

Lasă comentariul tău

Adresa ta de email nu va fi publicată. Câmpurile obligatorii sunt marcate cu *

*

*

  1. Responsabil pentru date: Miguel Ángel Gatón
  2. Scopul datelor: Control SPAM, gestionarea comentariilor.
  3. Legitimare: consimțământul dvs.
  4. Comunicarea datelor: datele nu vor fi comunicate terților decât prin obligație legală.
  5. Stocarea datelor: bază de date găzduită de Occentus Networks (UE)
  6. Drepturi: în orice moment vă puteți limita, recupera și șterge informațiile.