Платформата HackerOne, която позволява на изследователите по сигурността да информират разработчиците за открити уязвимости и да получават награди за това, получи за собственото си нарушаване на сигурността. Един от изследователите успя да получи достъп до акаунта на аналитик по сигурността на компанията HackerOne, който има възможност да преглежда затворени материали, включително информация за уязвимости, които все още не са отстранени. От съществуването на платформата, на изследователите са изплатени общо 23 милиона долара за откритие на уязвимости в продуктите на повече от 100 клиенти, сред които Twitter, Facebook, Google, Apple, Microsoft, Slack, Пентагона и Военноморските сили на САЩ.
Забележително е, че захващането на акаунта стана възможно заради човешкия фактор. Един от изследователите подаде за разглеждане заявка за потенциална уязвимост в HackerOne. Аналитик от HackerOne при разглеждането на заявката се опита да повтори предложената хакерска техника, но не успя да възпроизведе проблема и на автора на заявката беше изпратен отговор с искане за допълнителни детайли. В този момент аналитикът не забеляза, че заедно с резултатите от неуспешната проверка по недоглеждане е изпратил съдържанието на своя сесионен Cookie. По-специално, по време на разговора, аналитикът даде пример за HTTP-заявка, изпратена с помощта на утилитата curl, включваща HTTP-заглавия, от които беше забравил да премахне съдържанието на сесионния Cookie.
Изследователят забеляза тази грешка и успя да получи достъп до привилегирования акаунт на сайта hackerone.com, просто замествайки забелязаното значение на Cookie без необходимост от преминаване през реализираната в услугата многофакторна аутентификация. Атаката стана възможна, тъй като на hackerone.com не се прилагаше сесийна връзка с IP адреса или браузъра на потребителя. Проблемният сесионен идентификатор беше премахнат два часа след публикуването на отчета за теча. За уведомяването относно проблема на изследователя беше решено да се изплати 20 хиляди долара.
HackerOne инициира аудита за анализ на възможни течове на Cookie в миналото и оценка на потенциални течове на затворени данни относно проблемите на клиентите на услугата. Аудитът не е установил факти за течове в миналото и е определил, че изследователят, демонстрирал проблема, е могъл да получи информация за около 5% от всички програми, представени в услугата, до които е имал достъп анализатор, чийто сесиен ключ е бил използван.
За да се защитим от извършването на подобни атаки в бъдеще, е реализирано свързване на сесийния ключ с IP адрес и филтриране на сесийни ключове и токени за автентикация в коментарите. В бъдеще планират да заменят свързването с IP с свързване на устройства на потребителя, тъй като свързването с IP е неудобно за потребители с динамично предоставени адреси. Също така е решено да се разшири системата за логове с информация относно достъпа на потребителите до данни и да се реализира модел на granularен достъп на анализаторите до данните на клиентите.
Източник: opennet.ru
