La piattaforma HackerOne, che consente ai ricercatori di sicurezza di segnalare vulnerabilità agli sviluppatori e ricevere ricompense, ha ricevuto notizia del proprio hack. Uno dei ricercatori è riuscito ad accedere all'account di un analista della sicurezza di HackerOne, che aveva la possibilità di visualizzare materiali riservati, inclusi i dettagli su vulnerabilità ancora non risolte. Dalla creazione della piattaforma, sono stati pagati 23 milioni di dollari ai ricercatori per aver identificato vulnerabilità nei prodotti di oltre 100 clienti, tra cui Twitter, Facebook, Google, Apple, Microsoft, Slack, il Pentagono e la Marina degli Stati Uniti.
È notevole che il recupero dell'account sia stato possibile a causa di un errore umano. Uno dei ricercatori ha inviato per la revisione una segnalazione su una potenziale vulnerabilità in HackerOne. Durante l'analisi della segnalazione, un analista di HackerOne ha tentato di replicare il metodo di hacking proposto, ma non è riuscito a riprodurre il problema, e l'autore della segnalazione ha ricevuto una risposta con richiesta di ulteriori dettagli. Tuttavia, l'analista non si è accorto di aver involontariamente inviato il contenuto del proprio cookie di sessione insieme ai risultati del test fallito. In particolare, durante il dialogo, l'analista ha fornito un esempio di una richiesta HTTP eseguita con lo strumento curl, inclusi gli header HTTP, da cui ha dimenticato di rimuovere il contenuto del cookie di sessione.
Il ricercatore ha notato questa svista ed è riuscito ad accedere all'account privilegiato sul sito hackerone.com, semplicemente inserendo il valore del cookie notato, senza dover passare attraverso il sistema di autenticazione multifattoriale utilizzato. L'attacco è stato possibile poiché su hackerone.com non era applicato il legame della sessione all'IP o al browser dell'utente. L'identificativo di sessione problematico è stato rimosso due ore dopo la pubblicazione del rapporto sulla fuga di informazioni. Per la segnalazione del problema, si è deciso di corrispondere al ricercatore 20.000 dollari.
HackerOne ha avviato un audit per analizzare la possibilità che si siano verificate simili fughe di cookie in passato e per valutare le potenziali fughe di informazioni riservate riguardanti i problemi dei clienti del servizio. L'audit non ha rilevato fughe in passato e ha determinato che il ricercatore che ha dimostrato il problema poteva accedere a informazioni circa il 5% di tutti i programmi presentati nel servizio, ai quali l'analista, il cui token di sessione è stato utilizzato, aveva accesso.
Per proteggere da attacchi simili in futuro, è stata implementata la legatura del token di sessione a indirizzo IP e il filtraggio dei token di sessione e dei token di autenticazione nei commenti. In futuro, la legatura all'IP sarà sostituita dalla legatura ai dispositivi degli utenti, poiché la legatura all'IP risulta scomoda per gli utenti con indirizzi dinamicamente assegnati. Si è anche deciso di ampliare il sistema di log con informazioni sull'accesso degli utenti ai dati e di implementare un modello di accesso granulare per gli analisti ai dati dei clienti.
Fonte: opennet.ru
