Një dobësi u zbulua së fundmi në platformën e njohur të kurseve online Coursera. Problemi buronte nga API-ja, duke çuar në bindjen se hakerat mund ta kenë shfrytëzuar dobësinë "BOLA" për të kuptuar preferencat e përdoruesve për kurset dhe për të paragjykuar zgjedhjet e tyre të kurseve.
Për më tepër, besohet gjithashtu se dobësitë e zbuluara së fundmi mund të kenë ekspozuar të dhënat e përdoruesve përpara se të përditësoheshin. Këto të meta u zbuluan nga studiuesit në kompaninë e testimit të sigurisë së aplikacioneve Checkmarx dhe u bënë publike javën e kaluar.
Dobësitë lidhen me një sërë ndërfaqesh programimi aplikacionesh të Coursera-s , dhe studiuesit vendosën të hulumtojnë më thellë në sigurinë e Coursera-s për shkak të popullaritetit të saj në rritje përmes kalimit në punë dhe mësim online për shkak të pandemisë COVID-19.
Për ata që nuk janë të njohur me Coursera, duhet të dini se kjo është një kompani që ka 82 milion përdorues dhe punon me më shumë se 200 kompani dhe universitete. Partneritetet e dukshme përfshijnë Universitetin e Illinois, Universitetin Duke, Google, Universitetin e Miçiganit, Makineritë Ndërkombëtare të Biznesit, Kolegjin Imperial të Londrës, Universitetin Stanford dhe Universitetin e Pensilvanisë.
U zbuluan disa probleme me API-në, duke përfshirë numërimin e përdoruesve/llogarive nëpërmjet funksionit të rivendosjes së fjalëkalimit, burime të pamjaftueshme që kufizojnë si API-të GraphQL ashtu edhe ato REST, dhe konfigurim të pasaktë të GraphQL. Në veçanti, një problem i autorizimit të prishur në nivel objekti kryeson listën.
Kur ndërvepronim me aplikacionin në internet Coursera si përdorues të rregullt (studentë), vumë re që kurset e shikuara së fundmi shfaqeshin në ndërfaqen e përdoruesit. Për të përfaqësuar këtë informacion, ne zbulojmë kërkesa të shumta API GET në të njëjtën pikë përfundimtare: /api/userPreferences.v1/ceptsUSER_ID-lex.europa.eu~ceptsPREFERENCE_TYPE}.
Dobësia e BOLA API përshkruhet si diçka që ndikon në preferencat e përdoruesve. Duke shfrytëzuar këtë dobësi, edhe përdoruesit anonimë mund të rikuperojnë preferencat dhe madje t'i ndryshojnë ato. Disa preferenca, siç janë kurset dhe certifikimet e shikuara së fundmi, gjithashtu nxjerrin të dhëna meta. Të metat e BOLA API mund të ekspozojnë pikat fundore që trajtojnë identifikues objektesh, duke hapur potencialisht derën për sulme më të gjera.
«Kjo dobësi mund të ishte abuzuar për të kuptuar preferencat e kursit të përdoruesve të përgjithshëm në një shkallë të gjerë, por edhe për të anuar zgjedhjet e përdoruesve në një farë mënyre, pasi manipulimi i aktivitetit të tyre të fundit ndikoi në përmbajtjen e paraqitur në faqen kryesore Coursera për një specifik përdorues ”, shpjegojnë studiuesit.
"Për fat të keq, problemet e autorizimit janë mjaft të zakonshme me API-të", thonë studiuesit. “Veryshtë shumë e rëndësishme që të centralizohen vlerësimet e kontrollit të hyrjes në një komponent të vetëm, të testuar mirë, të testuar vazhdimisht dhe të mirëmbajtur në mënyrë aktive. Pikat e reja të fundit të API-së, ose ndryshimet në ato ekzistuese, duhet të rishikohen me kujdes përkundrejt kërkesave të tyre të sigurisë. "
Studiuesit vunë në dukje se problemet e autorizimit janë mjaft të zakonshme me API-të dhe se si të tilla është e rëndësishme të centralizohen vlerësimet e kontrollit të hyrjes. Bërja e kësaj duhet të bëhet përmes një komponenti të vetëm, të testuar mirë dhe të vazhdueshëm të mirëmbajtjes.
Dobësitë e zbuluara iu dorëzuan ekipit të sigurisë së Coursera më 5 tetor. Konfirmimi se kompania e mori raportin dhe po punonte për të erdhi më 26 tetor. Më pas, Coursera i shkroi Cherkmarx duke deklaruar se i kishin zgjidhur problemet midis 18 dhjetorit dhe 2 janarit, dhe më pas paraqiti një raport ritestimi me një problem të ri. Më në fund, më 24 maj, Coursera konfirmoi se të gjitha problemet ishin rregulluar.
Pavarësisht nga koha mjaft e gjatë nga zbulimi në korrigjim, studiuesit thanë se ekipi i sigurisë Coursera ishte një kënaqësi për të punuar me të.
"Profesionalizmi dhe bashkëpunimi i tyre, si dhe pronësia e shpejtë që ata morën, është ajo që ne presim me padurim kur të angazhohemi me kompani softuerësh," përfunduan ata.
Burimi: https://www.checkmarx.com