Пре неколико дана рањивост је откривена у популарној платформи за курс на мрежи Цоурсера и да ли је проблем који је имао био у АПИ-у, тако да верује се да је врло могуће да су хакери могли да злоупотребе рањивост „БОЛА“ да бисте разумели преференције корисничких курсева, као и да бисте искривили опције корисничког курса.
Поред чињенице да се такође верује да су недавно откривене рањивости могле открити корисничке податке пре поправке. Ове мане су открили истраживачи из компанија за тестирање безбедности апликација Цхецкмарк и објављени током протекле недеље.
Рањивости односе се на разне интерфејсе за програмирање програма Цоурсера а истраживачи су одлучили да се удубе у сигурност Цоурсере због све веће популарности преласком на посао и учење на мрежи због пандемије ЦОВИД-19.
За оне који нису упознати са Цоурсером, требали бисте знати да је ово компанија која има 82 милиона корисника и сарађује са више од 200 компанија и универзитета. Значајна партнерства укључују Университи оф Иллиноис, Дуке Университи, Гоогле, Университи оф Мицхиган, Интернатионал Бусинесс Мацхинес, Империал Цоллеге Лондон, Станфорд Университи и Университи оф Пеннсилваниа.
Откривени су различити АПИ проблеми, укључујући набрајање корисника / налога путем функције за ресетовање лозинке, недостатак ресурса који ограничавају и ГрапхКЛ АПИ и РЕСТ, и нетачна ГрапхКЛ конфигурација. Нарочито је на врху листа сломљено издање овлашћења на нивоу објекта.
Током интеракције са веб апликацијом Цоурсера као редовни корисници (студенти) приметили смо да су недавно прегледани курсеви приказани у корисничком интерфејсу. Да бисмо представили ове информације, откривамо више АПИ ГЕТ захтева за исту крајњу тачку: /апи/усерПреференцес.в1/[УСЕР_ИД-лек.еуропа.еу~[ПРЕФЕРЕНЦЕ_ТИПЕ}.
Рањивост БОЛА АПИ описана је као погођене корисничке преференције. Искористивши рањивост, чак су и анонимни корисници могли да преференције преузму, али и да их промене. Неке поставке, попут недавно прегледаних курсева и сертификата, такође филтрирају неке метаподатке. БОЛА недостаци у АПИ-има могу открити крајње тачке који рукују идентификаторима објеката, што би могло отворити врата ширим нападима.
«Ова рањивост је могла бити злоупотребљена да би се у великој мери разумеле преференције курса општих корисника, али и да би се на неки начин искривио избор корисника, јер је манипулација њиховим недавним активностима утицала на садржај представљен на почетној страници Цоурсера за одређени корисник “, објашњавају истраживачи.
„Нажалост, проблеми са ауторизацијом прилично су чести код АПИ-ја“, кажу истраживачи. „Веома је важно централизовати валидацију контроле приступа у једној компоненти, добро тестираној, континуирано тестираној и активно одржаваној. Нове АПИ крајње тачке или промене постојећих треба пажљиво прегледати у односу на њихове безбедносне захтеве. "
Истраживачи су приметили да су проблеми са ауторизацијом прилично чести код АПИ-ја и да је као такав важно централизовати валидацију контроле приступа. То се мора постићи кроз једну, добро тестирану и трајну компоненту одржавања.
Откривене рањивости предате су Цоурсерином сигурносном тиму 5. октобра. Потврда да је компанија добила извештај и да ради на њему стигла је 26. октобра, а Цоурсера је накнадно написала Цхеркмарку рекавши да су решили проблеме од 18. децембра до 2. јануара, а Цоурсера је затим послала извештај о новом тесту са новим проблемом. Коначно, 24. маја, Цоурсера је потврдио да су сва питања решена.
Упркос прилично дугом времену од откривања до исправке, истраживачи су рекли да је тим за безбедност компаније Цоурсера задовољство радити.
„Њихова професионалност и сарадња, као и брзо власништво које су преузели, је оно чему се радујемо када ступамо у контакт са софтверским компанијама“, закључили су.
izvor: https://www.checkmarx.com