Hace pocos dias se dio a conocer una vulnerabilidad en la popular plataforma de cursos en lĆnea Coursera y es que el problema que tuvo radico en la API, por lo que se cree que es muy posible que hackers podrĆan haber abusado de la vulnerabilidad Ā«BOLAĀ» para comprender las preferencias de curso de los usuarios, asĆ como para sesgar las opciones de curso de un usuario.
AdemĆ”s de que tambien se cree que las vulnerabilidades recientemente reveladas podrĆan haber expuesto los datos del usuario antes de ser reparados. Estos fallos fueron descubiertos por investigadores de la empresa de pruebas de seguridad de aplicaciones Checkmarx y publicadas durante la semana pasada.
Las vulnerabilidades se relacionan con una variedad de interfaces de programaciĆ³n de aplicaciones de Coursera y los investigadores decidieron profundizar en la seguridad de Coursera debido a su creciente popularidad a travĆ©s del cambio al trabajo y el aprendizaje en lĆnea debido a la pandemia de COVID-19.
Para quienes desconocen de Coursera, deben saber que esta es una empresa que tiene 82 millones de usuarios y trabaja con mƔs de 200 empresas y universidades. Las asociaciones notables incluyen la Universidad de Illinois, la Universidad de Duke, Google, la Universidad de Michigan, International Business Machines, el Imperial College London, la Universidad de Stanford y la Universidad de Pennsylvania.
Se descubrieron varios problemas de API, incluida la enumeraciĆ³n de usuario/cuenta a travĆ©s de la funciĆ³n de restablecimiento de contraseƱa, la falta de recursos que limitan tanto la API GraphQL como la REST, y una configuraciĆ³n incorrecta de GraphQL. En particular, un problema de autorizaciĆ³n de nivel de objeto roto encabeza la lista.
Al interactuar con la aplicaciĆ³n web de Coursera como usuarios habituales (estudiantes), notamos que los cursos vistos recientemente se mostraban en la interfaz de usuario.Ā Para representar esta informaciĆ³n, detectamos varias solicitudes de API GET al mismo punto final: /api/userPreferences.v1/{USER_ID}~{PREFERENCE_TYPE}.
La vulnerabilidad de la API BOLA se describe como preferencias del usuario afectadas. Aprovechando la vulnerabilidad, incluso los usuarios anĆ³nimos pudieron recuperar las preferencias, pero tambiĆ©n cambiarlas. Algunas de las preferencias, como los cursos y las certificaciones vistos recientemente, tambiĆ©n filtran algunos metadatos. Las fallas de BOLA en las API pueden exponer puntos finales que manejan identificadores de objetos, lo que podrĆa abrir la puerta a ataques mĆ”s amplios.
Ā«Esta vulnerabilidad podrĆa haberse abusado para comprender las preferencias de cursos de los usuarios generales a gran escala, pero tambiĆ©n para sesgar de alguna manera las elecciones de los usuarios, ya que la manipulaciĆ³n de su actividad reciente afectĆ³ el contenido presentado en la pĆ”gina de inicio de Coursera para un usuario especĆficoĀ», explican los investigadores.
Ā«Desafortunadamente, los problemas de autorizaciĆ³n son bastante comunes con las APIĀ», dicen los investigadores. Ā«Es muy importante centralizar las validaciones de control de acceso en un solo componente, bien probado, continuamente probado y mantenido activamente. Los nuevos puntos finales de API, o los cambios a los existentes, deben revisarse cuidadosamente con respecto a sus requisitos de seguridadĀ».
Los investigadores notaron que los problemas de autorizaciĆ³n son bastante comunes con las API y que, como tal, es importante centralizar las validaciones de control de acceso. Hacerlo debe ser a travĆ©s de un componente Ćŗnico, bien probado y de mantenimiento continuo.
Las vulnerabilidades descubiertas se enviaron al equipo de seguridad de Coursera el 5 de octubre. La confirmaciĆ³n de que la compaƱĆa recibiĆ³ el informe y estaba trabajando en Ć©l se produjo el 26 de octubre, y Coursera le escribiĆ³ posteriormente a Cherkmarx diciendo que habĆan resuelto los problemas el 18 de diciembre hasta el 2 de enero y Coursera luego enviĆ³ un informe de nueva prueba con un nuevo problema. Finalmente, el 24 de mayo, Coursera confirmĆ³ que todos los problemas estaban solucionados.
A pesar del plazo bastante largo desde la divulgaciĆ³n hasta la correcciĆ³n, los investigadores dijeron que fue un placer trabajar con el equipo de seguridad de Coursera.
āSu profesionalismo y cooperaciĆ³n, asĆ como la rĆ”pida propiedad que asumieron, es lo que esperamos cuando nos relacionamos con empresas de softwareā, concluyeron.
Fuente: https://www.checkmarx.com