V priljubljeni platformi za spletne tečaje Coursera je bila nedavno odkrita ranljivost. Težava je izvirala iz API-ja, kar je privedlo do prepričanja, da so hekerji morda izkoristili ranljivost »BOLA«, da bi razumeli uporabnikove preference glede tečajev in vplivali na njihove izbire tečajev.
Poleg tega obstaja tudi prepričanje, da so nedavno odkrite ranljivosti morda razkrile uporabniške podatke, še preden so bile odpravljene. Te pomanjkljivosti so odkrili raziskovalci podjetja za testiranje varnosti aplikacij Checkmarx in jih prejšnji teden objavili.
Ranljivosti se nanašajo na različne vmesnike za programiranje aplikacij platformo Coursera , raziskovalci pa so se odločili, da se bodo poglobili v varnost platformo Coursera zaradi njene naraščajoče priljubljenosti s prehodom na spletno delo in učenje zaradi pandemije COVID-19.
Za tiste, ki ne poznajo Coursere, morate vedeti, da gre za podjetje, ki ima 82 milijonov uporabnikov in sodeluje z več kot 200 podjetji in univerzami. Pomembna partnerstva vključujejo Univerzo v Illinoisu, Univerzo Duke, Google, Univerzo v Michiganu, International Business Machines, Imperial College London, Univerzo Stanford in Univerzo Pennsylvania.
Odkritih je bilo več težav z API-jem, vključno z naštevanjem uporabnikov/računov prek funkcije za ponastavitev gesla, nezadostnimi viri, ki omejujejo tako API-ja GraphQL kot REST, ter nepravilno konfiguracijo GraphQL. Na vrhu seznama je še posebej težava z nedelujočo avtorizacijo na ravni objektov.
Pri interakciji s spletno aplikacijo Coursera kot redni uporabniki (študenti) smo opazili, da so bili nedavno uporabljeni tečaji prikazani v uporabniškem vmesniku. Za predstavitev teh informacij zaznamo več zahtev API GET za isto končno točko: /api/userPreferences.v1/[USER_ID-lex.europa.eu~[PREFERENCE_TYPE}.
Ranljivost BOLA API je opisana kot dejavnik, ki vpliva na uporabniške nastavitve. Z izkoriščanjem te ranljivosti bi lahko celo anonimni uporabniki pridobili nastavitve in jih celo spremenili. Nekatere nastavitve, kot so nedavno ogledani tečaji in certifikati, prav tako razkrivajo metapodatke. Napake BOLA API lahko razkrijejo končne točke , ki obravnavajo identifikatorje objektov, kar lahko odpre vrata širšim napadom.
«To ranljivost bi lahko zlorabili, da bi v velikem obsegu razumeli nastavitve tečaja splošnih uporabnikov, pa tudi, da bi na nek način izkrivili izbiro uporabnikov, saj je manipulacija njihove nedavne dejavnosti vplivala na vsebino, predstavljeno na domači strani Coursera, za določeno uporabnik, «pojasnjujejo raziskovalci.
"Na žalost so težave z avtorizacijo pri API-jih zelo pogoste," pravijo raziskovalci. »Zelo pomembno je, da validacije nadzora dostopa centraliziramo v eno samo komponento, dobro preizkušeno, stalno preizkušeno in aktivno vzdrževano. Nove končne točke API ali spremembe obstoječih je treba skrbno pregledati glede na njihove varnostne zahteve.
Raziskovalci so ugotovili, da so težave z avtorizacijo zelo pogoste pri API-jih in da je kot taka pomembno centralizirati preverjanje veljavnosti nadzora dostopa. To mora biti opravljeno z eno samo, dobro preizkušeno in tekočo komponento vzdrževanja.
Odkrite ranljivosti so bile varnostni ekipi Coursera predložene 5. oktobra. Potrditev, da je podjetje prejelo poročilo in da dela na njem, je prišla 26. oktobra. Coursera je nato pisala podjetju Cherkmarx, v kateri je navedla, da so težave odpravili med 18. decembrom in 2. januarjem, nato pa je predložila poročilo o ponovnem testiranju z novo težavo. Končno je Coursera 24. maja potrdila, da so bile vse težave odpravljene.
Kljub precej dolgemu času od razkritja do popravka so raziskovalci dejali, da je bilo z ekipo za varnost Coursere v veselje delati.
"Pri sodelovanju s podjetji, ki se ukvarjajo s programsko opremo, se veselimo njihove strokovnosti in sodelovanja ter hitrega lastništva, ki so ga prevzeli," so zaključili.
Vir: https://www.checkmarx.com