Die HackerOne-Plattform ermöglicht es Sicherheitsexperten, Entwickler über entdeckte Schwachstellen zu informieren und dafür Belohnungen zu erhalten. Ein Sicherheitsforscher hat Zugriff auf das Konto eines Sicherheitsanalysten von HackerOne erhalten, der die Möglichkeit hat, auf vertrauliche Materialien zuzugreifen, einschließlich Informationen über noch nicht behobene Schwachstellen. Seit der Gründung der Plattform wurden über HackerOne insgesamt 23 Millionen Dollar an Forscher für die Entdeckung von Schwachstellen in Produkten von mehr als 100 Kunden ausgezahlt, darunter Twitter, Facebook, Google, Apple, Microsoft, Slack, das Pentagon und die US Navy.
Es ist bemerkenswert, dass der Zugriff auf das Konto aufgrund menschlicher Fehler möglich wurde. Einer der Forscher reichte einen Antrag auf eine potenzielle Schwachstelle bei HackerOne ein. Während der Analyse des Antrags versuchte ein Analyst von HackerOne, die vorgeschlagene Hackmethode zu reproduzieren, konnte jedoch das Problem nicht nachstellen, und der Antragsteller erhielt eine Antwort mit der Bitte um weitere Details. Dabei bemerkte der Analyst nicht, dass er versehentlich zusammen mit den Ergebnissen der gescheiterten Überprüfung den Inhalt seines Sitzungscookies sendete. Insbesondere brachte der Analyst im Dialog ein Beispiel für eine von der Utility curl ausgeführte HTTP-Anfrage, die HTTP-Header enthielt, aus denen er versäumte, den Inhalt des Sitzungscookies zu entfernen.
Ein Forscher bemerkte diese Schwäche und konnte auf ein privilegiertes Konto auf der Seite hackerone.com zugreifen, indem er einfach den beobachteten Cookie-Wert verwendete, ohne die im Service implementierte Zwei-Faktor-Authentifizierung durchlaufen zu müssen. Der Angriff war möglich, da auf hackerone.com keine Sitzungsbindung an die IP oder den Browser des Benutzers angewendet wurde. Der problematische Sitzungsidentifikator wurde zwei Stunden nach der Veröffentlichung des Leckberichts entfernt. Der Forscher wurde mit 20.000 Dollar für die Meldung des Problems belohnt.
HackerOne leitete ein Audit ein, um mögliche frühere Cookie-Lecks zu analysieren und potenzielle Lecks vertraulicher Informationen über die Probleme der Servicekunden zu bewerten. Das Audit ergab keine früheren Lecks und stellte fest, dass der Forscher, der das Problem demonstrierte, Informationen über etwa 5 % aller im Service angemeldeten Programme erhalten konnte, auf die der Analyst Zugriff hatte, dessen Sitzungskennwort verwendet wurde.
Zur Vermeidung ähnlicher Angriffe in der Zukunft wurde eine Sitzungsbindung implementiert. die IP-Adresse gebunden sind und die Filterung von Sitzungsschlüsseln und Authentifizierungstoken in Kommentaren. Zukünftig wird die Bindung an die IP-Adresse durch eine Bindung an die Geräte der Benutzer ersetzt, da die IP-Bindung für Benutzer mit dynamisch zugewiesenen Adressen unpraktisch ist. Außerdem wurde beschlossen, das Protokollsystem mit Informationen über den Zugriff der Benutzer auf Daten zu erweitern und ein granuliertes Zugriffsmodell für Analysten auf die Kundendaten zu implementieren.
Quelle: opennet.ru
