Две в едно: туристическите данни и билетите за културни събития бяха публично достъпни

Днес ще разгледаме два случая наведнъж - данните на клиенти и партньори на две напълно различни компании бяха свободно достъпни „благодарение“ на отворени сървъри Elasticsearch с регистрационни файлове на информационни системи (IS) на тези компании.

В първия случай това са десетки хиляди (а може би и стотици хиляди) билети за различни културни събития (театри, клубове, речни разходки и др.), продадени през системата Radario (www.radario.ru).

Във втория случай това са данни за туристически пътувания на хиляди (вероятно няколко десетки хиляди) пътници, закупили обиколки чрез туристически агенции, свързани със системата Sletat.ru (www.sletat.ru).

Веднага искам да отбележа, че се различават не само имената на компаниите, допуснали данните да станат публично достъпни, но и подходът на тези компании към разпознаването на инцидента и последващата реакция към него. Но най-напред...

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

Случай първи. "Радарио"

Вечерта на 06.05.2019 г. нашата система откри, че сървърът Elasticsearch е свободно достъпен, собственост на услугата за продажба на електронни билети Radario.

Според вече установената тъжна традиция сървърът съдържаше подробни логове на информационната система на услугата, от които беше възможно да се получат лични данни, потребителски имена и пароли, както и самите електронни билети за различни събития в цялата страна.

Общият обем на регистрационните файлове надхвърли 1 TB.

Според търсачката Shodan сървърът е публично достъпен от 11.03.2019 март 06.05.2019 г. Уведомих служителите на Radario на 22 г. в 50:07.05.2019 (MSK) и на 09 г. около 30:XNUMX ч. сървърът стана недостъпен.

Дневниците съдържаха универсален (единичен) токен за оторизация, осигуряващ достъп до всички закупени билети чрез специални връзки, като:

http://radario.ru/internal/tickets/XXXXXXXX/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

http://radario.ru/internal/orders/YYYYYYY/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

Проблемът също беше, че за отчитане на билетите беше използвано непрекъснато номериране на поръчките и просто изброяване на номера на билета (XXXXXXXXX) или поръчка (YYYYYYY), беше възможно да получите всички билети от системата.

За да проверя уместността на базата данни, дори честно си купих най-евтиния билет:

и по-късно го намери на публичен сървър в регистрационните файлове на IS:

http://radario.ru/internal/tickets/11819272/print?access_token==******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

Отделно бих искал да подчертая, че имаше билети както за вече проведени събития, така и за такива, които тепърва се планират. Тоест, потенциален нападател може да използва билета на някой друг, за да влезе в планираното събитие.

Средно всеки индекс на Elasticsearch, съдържащ регистрационни файлове за един конкретен ден (започвайки от 24.01.2019 г. до 07.05.2019 г.), съдържаше от 25 до 35 хиляди билета.

В допълнение към самите билети, индексът съдържа вход (имейл адреси) и текстови пароли за достъп до личните акаунти на партньорите на Radario, които продават билети за своите събития чрез тази услуга:

Content: "ReturnUrl=&UserEmail=***@yandex.ru&UserPassword=***"

Общо бяха открити повече от 500 двойки потребителско име/парола. Статистиката за продажбите на билети се вижда в личните акаунти на партньорите:

Публично достъпни бяха и имената, телефонните номера и имейл адресите на купувачите, решили да върнат вече закупени билети:

"Content": "{"name":"***","surname":"*** ","middleName":"Евгеньевна ","passportType":1,"passportNumber":"","passportIssueDate":"11-11-2011 11:11:11","passportIssuedBy":"","email":"***@mail.ru","phone":"+799*******","ticketNumbers":["****24848","****948732"],"refundReason":4,"comment":""}"

В един произволно избран ден бяха открити над 500 такива записа.

Получих отговор на сигнала от техническия директор на Radario:

Аз съм технически директор на Radario и бих искал да ви благодаря, че идентифицирахте проблема. Както знаете, затворихме достъпа до elastic и решаваме въпроса с преиздаване на билети за клиенти.

Малко по-късно компанията направи официално изявление:

Беше открита и незабавно коригирана уязвимост в системата за продажба на електронни билети Radario, която можеше да доведе до изтичане на данни от клиенти на услугата, каза маркетинг директорът на компанията Кирил Малишев пред Moscow City News Agency.

„Всъщност открихме уязвимост в работата на системата, свързана с редовни актуализации, която беше коригирана веднага след откриването. В резултат на уязвимостта при определени условия недружелюбни действия на трети страни могат да доведат до изтичане на данни, но не са регистрирани инциденти. Към момента всички повреди са отстранени”, каза К. Малишев.

Представител на компанията подчерта, че е решено да се преиздадат всички билети, продадени по време на решаването на проблема, за да се елиминира напълно възможността за измама срещу клиенти на услугата.

Няколко дни по-късно проверих наличието на данни, използвайки изтеклите връзки - достъпът до „изложените“ билети наистина беше покрит. Според мен това е компетентен, професионален подход за решаване на проблема с изтичането на данни.

Случай втори. "Fly.ru"

Рано сутринта на 15.05.2019г DeviceLock Data Break Intelligence идентифицира публичен сървър на Elasticsearch с регистрационни файлове на определен IS.

По-късно беше установено, че сървърът принадлежи на услугата за избор на турове „Sletat.ru“.

От индекса cbto__0 беше възможно да се получат хиляди (11,7 хиляди включително дубликати) имейл адреси, както и известна информация за плащане (разходи за турне) и данни за турнето (кога, къде, подробности за самолетен билет всички пътници, включени в обиколката и др.) в размер на около 1,8 хиляди записа:

"full_message": "Получен запрос за создание платежного средства: {"SuccessReturnUrl":"https://sletat.ru/tour/7-1939548394-65996246/buy/?ClaimId=b5e3bf98-2855-400d-a93a-17c54a970155","ErrorReturnUrl":"https://sletat.ru/","PaymentAgentId":15,"DocumentNumber":96629429,"DocumentDisplayNumber":"4451-17993","Amount":36307.0,"PaymentToolType":3,"ExpiryDateUtc":"2020-04-03T00:33:55.217358+03:00","LifecycleType":2,"CustomerEmail":"[email protected]","Description":"","SettingsId":"8759d0dd-da54-45dd-9661-4e852b0a1d89","AdditionalInfo":"{"TourOfficeAdditionalInfo":{"IsAdditionalPayment":false},"BarrelAdditionalInfo":{"Tickets":[{"Passenger":{"FIO":"XXX VIKTORIIA"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX ANDREI"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX Andrei"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false}],"Segments":[{"Flight":"5659","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"LED","DepartureAirport":"LED","DepartureAirportIataCode":"LED","DepartureDate":"2019-04-11T02:45:00","DepartureTime":null,"ArrivalCity":"SHJ","ArrivalAirport":"SHJ","ArrivalAirportIataCode":"SHJ","ArrivalDate":"2019-04-11T09:40:00","ArrivalTime":null,"FareCode":null},{"Flight":"5660","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"SHJ","DepartureAirport":"SHJ","DepartureAirportIataCode":"SHJ","DepartureDate":"2019-04-14T10:45:00","DepartureTime":null,"ArrivalCity":"LED","ArrivalAirport":"LED","ArrivalAirportIataCode":"LED","ArrivalDate":"2019-04-14T15:50:00","ArrivalTime":null,"FareCode":null}]},"Tickets":[{"Passenger":{"FIO":"XXX VIKTORIIA"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX ANDREI"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX Andrei"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false}],"Segments":[{"Flight":"5659","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"LED","DepartureAirport":"LED","DepartureAirportIataCode":"LED","DepartureDate":"2019-04-11T02:45:00","DepartureTime":null,"ArrivalCity":"SHJ","ArrivalAirport":"SHJ","ArrivalAirportIataCode":"SHJ","ArrivalDate":"2019-04-11T09:40:00","ArrivalTime":null,"FareCode":null},{"Flight":"5660","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"SHJ","DepartureAirport":"SHJ","DepartureAirportIataCode":"SHJ","DepartureDate":"2019-04-14T10:45:00","DepartureTime":null,"ArrivalCity":"LED","ArrivalAirport":"LED","ArrivalAirportIataCode":"LED","ArrivalDate":"2019-04-14T15:50:00","ArrivalTime":null,"FareCode":null}]}","FinancialSystemId":9,"Key":"18fe21d1-8c9c-43f3-b11d-6bf884ba6ee0"}"

Между другото, връзките към платени обиколки са доста работещи:

В индекси с име graylog_ в чист текст бяха данните за влизане и паролите на туристическите агенции, свързани със системата Sletat.ru и продаващи обиколки на своите клиенти:

"full_message": "Tours by request 155213901 added to local cache with key 'user_cache_155213901' at 5/6/2019 4:49:07 PM, rows found 0, sortedPriceLength 215. QueryString: countryId=90&cityFromId=1265&s_nightsMin=6&s_nightsMax=14&stars=403%2c404&minHotelRating=1&currencyAlias=RUB&pageSize=300&pageNumber=1&s_showcase=true&includeOilTaxesAndVisa=0&login=zakaz%40XXX.ru&password=XXX, Referer: , UserAgent: , IP: 94.154.XX.XX."

Според моите оценки бяха показани няколкостотин двойки потребителско име/парола.

От личния акаунт на туристическата агенция в портала agent.sletat.ru беше възможно да се получат данни за клиенти, включително номера на паспорти, международни паспорти, дати на раждане, пълни имена, телефонни номера и имейл адреси.

Уведомих услугата Sletat.ru на 15.05.2019 г. в 10:46 (MSK) и няколко часа по-късно (до 16:00) тя изчезна от свободния им достъп. По-късно, в отговор на публикацията в Комерсант, ръководството на службата направи много странно изявление чрез медиите:

Ръководителят на компанията Андрей Вершинин обясни, че Sletat.ru предоставя на редица големи партньорски туроператори достъп до историята на заявките в търсачката. И той предположи, че DeviceLock го е получил: „Посочената база данни обаче не съдържа паспортни данни на туристи, данни за влизане и пароли на туристически агенции, информация за плащане и т.н.“ Андрей Вершинин отбеляза, че Sletat.ru все още не е получил доказателства за толкова сериозни обвинения. „Сега се опитваме да се свържем с DeviceLock. Смятаме, че това е поръчка. Някои хора не харесват нашия бърз растеж“, добави той. "

Както е показано по-горе, влизанията, паролите и паспортните данни на туристите бяха публично достояние от доста дълго време (поне от 29.03.2019 март XNUMX г., когато сървърът на компанията за първи път беше записан в публичното пространство от търсачката Shodan). Разбира се, никой не се свърза с нас. Надявам се, че поне са уведомили туристическите агенции за изтичането на информация и са ги принудили да сменят паролите си.

Новини за изтичане на информация и вътрешни лица винаги можете да намерите в моя канал в Telegram "Течове на информация".

Източник: www.habr.com