התקפה על HackerOne, המאפשרת גישה לדוחות פגיעות פרטיים

פלטפורמת HackerOne, המאפשרת לחוקרי אבטחה ליידע מפתחים על זיהוי נקודות תורפה ולקבל על כך תגמולים, קיבלה להגיש תלונה על הפריצה שלך. אחד החוקרים הצליח להשיג גישה לחשבון של מנתח אבטחה ב-HackerOne, בעל יכולת לצפות בחומרים מסווגים, כולל מידע על נקודות תורפה שטרם תוקנו. מאז הקמת הפלטפורמה, HackerOne שילמה לחוקרים סך של 23 מיליון דולר כדי לזהות נקודות תורפה במוצרים של יותר מ-100 לקוחות, כולל טוויטר, פייסבוק, גוגל, אפל, מיקרוסופט, סלאק, הפנטגון והצי האמריקאי.

ראוי לציין שההשתלטות על החשבון התאפשרה עקב טעות אנוש. אחד החוקרים הגיש בקשה לבדיקה לגבי פגיעות פוטנציאלית ב-HackerOne. במהלך ניתוח האפליקציה, אנליסט של HackerOne ניסה לחזור על שיטת הפריצה המוצעת, אך לא ניתן היה לשחזר את הבעיה, ונשלחה תגובה למחבר האפליקציה בבקשה לפרטים נוספים. יחד עם זאת, האנליסט לא הבחין כי יחד עם תוצאות בדיקה לא מוצלחת, הוא שלח בטעות את תוכן הפגישה שלו Cookie. בפרט, במהלך הדיאלוג, האנליסט נתן דוגמה לבקשת HTTP שנעשתה על ידי כלי השירות curl, כולל כותרות HTTP, שממנה שכח לנקות את תוכן ה-Cookie של הפגישה.

החוקר הבחין בפיקוח זה והצליח לקבל גישה לחשבון מיוחס ב-hackerone.com פשוט על ידי הכנסת ערך ה-Cookie המצוין ללא צורך לעבור את האימות הרב-גורמי המשמש בשירות. ההתקפה הייתה אפשרית מכיוון ש-hackerone.com לא קשר את ההפעלה ל-IP או לדפדפן של המשתמש. מזהה הפגישה הבעייתית נמחק שעתיים לאחר פרסום דוח הדליפה. הוחלט לשלם לחוקר 20 אלף דולר עבור הידע על הבעיה.

HackerOne יזמה ביקורת כדי לנתח את ההתרחשות האפשרית של דליפות עוגיות דומות בעבר וכדי להעריך דליפות פוטנציאליות של מידע קנייני על בעיות של לקוחות שירות. הביקורת לא העלתה עדויות להדלפות בעבר וקבעה כי החוקר שהדגים את הבעיה יכול לקבל מידע על כ-5% מכלל התוכניות שהוצגו בשירות שהיו נגישות לאנליסט שהשימוש במפתח הפגישה שלו.

כדי להגן מפני התקפות דומות בעתיד, הטמענו קשירה של מפתח ההפעלה לכתובת ה-IP וסינון של מפתחות הפעלה ואסימוני אימות בהערות. בעתיד, הם מתכננים להחליף את הקישור ל-IP בקישור למכשירי המשתמש, מכיוון שקישור ל-IP אינו נוח למשתמשים עם כתובות שהונפקו באופן דינמי. כמו כן, הוחלט להרחיב את מערכת היומנים עם מידע על גישה של משתמשים לנתונים וליישם מודל של גישה פרטנית עבור אנליסטים לנתוני לקוחות.

מקור: OpenNet.ru