Platforma HackerOne, která umožňuje odborníkům na bezpečnost informovat vývojáře o nalezených zranitelnostech a získat za to odměny, obdržela informaci o vlastním útoku. Jednomu z odborníků se podařilo získat přístup k účtu bezpečnostního analytika společnosti HackerOne, který má možnost prohlížet uzavřené materiály, včetně informací o ještě neopravených zranitelnostech. Během existence platformy bylo přes HackerOne odborníkům vyplaceno celkem 23 milionů dolarů za nalezení zranitelností v produktech více než 100 klientů, mezi kterými jsou Twitter, Facebook, Google, Apple, Microsoft, Slack, Pentagon a americké námořnictvo.
Zajímavé je, že získání účtu bylo možné díky lidskému faktoru. Jeden z odborníků zaslal k posouzení žádost o potenciální zranitelnost v HackerOne. Analytik HackerOne se během zpracování žádosti pokusil reprodukovat navrženou metodu útoku, ale problém se mu nepodařilo reprodukovat, a autoru žádosti byl zaslán odpovědní e-mail s žádostí o další podrobnosti. Při tom analytik nezaznamenal, že spolu s výsledky neúspěšného vyšetřování omylem poslal obsah své relace Cookie. Konkrétně během dialogu analytik uvedl příklad HTTP požadavku provedeného pomocí nástroje curl, který obsahoval HTTP hlavičky, z nichž zapomněl vyčistit obsah relace Cookie.
Odborník si této chyby všiml a dokázal získat přístup k privilegovanému účtu na stránkách hackerone.com jednoduše tím, že vložil hodnotu Cookie, kterou si všiml, bez nutnosti procházet vícefaktorovým ověřováním poskytovaným službou. Útok byl možný, protože na hackerone.com nebylo použito vázání relace na IP nebo prohlížeč uživatele. Problémový identifikátor relace byl odstraněn dvě hodiny po publikaci zprávy o úniku. Odborníkovi bylo rozhodnuto vyplatit 20 tisíc dolarů za informování o problému.
HackerOne zahájil audit za účelem analýzy možného vzniku podobných úniků Cookie v minulosti a k posouzení potenciálních úniků citlivých údajů týkajících se problémů klientů služby. Audit neodhalil žádné úniky v minulosti a zjistil, že výzkumník, který problém nahlásil, mohl získat informace o přibližně 5 % ze všech programů dostupných v službě, ke kterým měl přístup analytik, jehož session key byl použit.
Aby se zabránilo podobným útokům v budoucnu, byla implementována vazba session key na IP adresu a filtrování session key a autentifikačních tokenů v komentářích. V budoucnu se plánuje nahradit vazbu na IP vazbou na zařízení uživatele, protože vazba na IP je nepohodlná pro uživatele s dynamicky přidělovanými adresami. Také bylo rozhodnuto rozšířit systém logů s informacemi o přístupu uživatelů k datům a implementovat model granulačního přístupu analytiků k údajům klientů.
Zdroj: opennet.ru
