Platforma HackerOne, koja omogućava istražiteljima sigurnosti da obavijeste programere o otkrivenim ranjivostima i za to dobiju nagrade, primila je o vlastitom hakiranju. Jedan od istražitelja uspio je dobiti pristup računu analitičara za sigurnost kompanije HackerOne, koji ima mogućnost pregleda zatvorenih materijala, uključujući informacije o još uvijek neotklonjenim ranjivostima. Od osnivanja platforme, istražiteljima je kroz HackerOne ukupno isplaćeno 23 miliona dolara za otkrivanje ranjivosti u proizvodima više od 100 klijenata, među kojima su Twitter, Facebook, Google, Apple, Microsoft, Slack, Pentagon i američka mornarica.
Zanimljivo je da je do preuzimanja računa došlo zbog ljudskog faktora. Jedan od istražitelja poslao je na razmatranje prijavu o potencijalnoj ranjivosti u HackerOne. Analitičar HackerOne tokom pregleda prijave pokušao je ponoviti predloženi hakerski metod, ali nije uspio reproducirati problem, te je autoru prijave poslan odgovor s zahtjevom za dodatnim informacijama. Pri tome analitičar nije primijetio da je zajedno s rezultatima neuspješne provjere nepažnjom poslao sadržaj svoje sesijske kolačiće. Konkretno, tokom dijaloga analitičar je naveo primjer HTTP zahtjeva izvedenog alatom curl, uključujući HTTP zaglavlja, iz kojih je zaboravio očistiti sadržaj sesijske kolačiće.
Istražitelj je primijetio ovu grešku i uspio je dobiti pristup privilegiranom računu na web stranici hackerone.com, jednostavno zamjenjujući primjećenu vrijednost kolačića bez potrebe za prolaskom više faktorske autentifikacije koja se koristi u servisu. Napad je bio moguć zato što se na hackerone.com nije primjenjivala veza sesije s IP-om ili preglednikom korisnika. Problematični sesijski identifikator uklonjen je dva sata nakon objave izvještaja o curenju. Za obavještavanje o problemu odlučeno je isplatiti istražitelju 20 hiljada dolara.
HackerOne je pokrenuo reviziju kako bi analizirao mogućnost pojave sličnih curenja kolačića u prošlosti i procijenio potencijalna curenja povjerljivih informacija o problemima klijenata usluge. Revizija nije otkrila nikakva curenja u prošlosti te je utvrdila da je istraživač koji je pokazao problem mogao doći do informacija o otprilike 5% od svih programa predstavljenih u usluzi, kojima je imao pristup analitičar čiji je sesijski ključ korišten.
Kako bi se zaštitili od sličnih napada u budućnosti, implementirana je zakačenost sesijskog ključa na IP-adresu te filtriranje sesijskih ključeva i autentifikacijskih tokena u komentarima. U budućnosti planiraju zamijeniti vezivanje za IP adresu s vezivanjem za uređaje korisnika, budući da je vezivanje na IP neuredno za korisnike s dinamički dodijeljenim adresama. Također, odlučeno je proširiti sustav logova s informacijama o pristupu korisnika podacima i implementirati model granularnog pristupa analitičara tim podacima.
Izvor: opennet.ru
