HackerOne-platformen, der giver sikkerhedsresearchere mulighed for at informere udviklere om opdagede sårbarheder og modtage belønninger for det, har fået omstilling. En af researcherene formåede at få adgang til en sikkerhedsanalyzers konto på HackerOne, som havde mulighed for at se lukkede materialer, herunder oplysninger om endnu ikke rettede sårbarheder. Siden platformens opstart er der via HackerOne blevet udbetalt i alt 23 millioner dollars til forskere for at identificere sårbarheder i produkter fra over 100 kunder, herunder Twitter, Facebook, Google, Apple, Microsoft, Slack, Pentagon og den amerikanske flåde.
Det er bemærkelsesværdigt, at kontoen blev overtaget på grund af menneskelig fejl. En af researcherene indsendte en anmodning om en potentiel sårbarhed til HackerOne. HackerOne-analytikeren forsøgte under vurderingen at reproducere den foreslåede hacket metode, men kunne ikke genskabe problemet, og forfatteren af anmodningen fik en tilbagemelding med en anmodning om flere detaljer. I processen bemærkede analytikeren ikke, at han ved en fejl sendte indholdet af sin sessionscookie sammen med resultaterne af den mislykkede kontrol. Specifikt gav analytikeren et eksempel på en HTTP-anmodning udført med curl-værktøjet, som indeholdt HTTP-overskrifter, hvor han glemte at fjerne indholdet af sessionscookien.
Researcheren opdagede denne fejl og kunne få adgang til en privilegeret konto på hjemmesiden hackerone.com blot ved at indsætte den observerede cookie-værdi uden at skulle gennemgå den multifaktorautentificering, der anvendes af tjenesten. Angrebet blev muligt, da der ikke var session-bindings til IP eller brugerens browser på hackerone.com. Den problematiske session-id blev fjernet to timer efter offentliggørelsen af lækagerapporten. For at informere om problemet blev der besluttet at udbetale 20.000 dollars til forskeren.
HackerOne har igangsat en revision for at analysere muligheden for lignende cookie-lækager i fortiden og for at vurdere potentielle lækager af fortrolige oplysninger om problemerne for tjenestens kunder. Revisionen afslørede ingen lækager i fortiden og fastslog, at den forsker, der demonstrerede problemet, kunne have fået adgang til omkring 5 % af alle de programmer, der blev præsenteret i tjenesten, som var tilgængelige for analytikeren, hvis sessionstast blev brugt.
For at beskytte mod sådanne angreb i fremtiden er der implementeret binding af sessionstasten til IP-adressen og filtrering af sessionstaster og autentificeringstokener i kommentarer. I fremtiden planlægges bindingsmetoden til IP at blive erstattet med binding til brugerens enheder, da IP-binding er genstand for udfordringer for brugere med dynamisk tildelte adresser. Det er også besluttet at udvide logsystemet med oplysninger om brugernes adgang til data og implementere en model for granulær adgang for analytikere til kundernes data.
Kilde: opennet.ru
