Two in One: 관광 데이터와 문화 행사 티켓이 공개되었습니다.

오늘 우리는 두 가지 사례를 한 번에 살펴보겠습니다. 완전히 다른 두 회사의 고객과 파트너의 데이터는 이들 회사의 정보 시스템(IS) 로그가 포함된 개방형 Elasticsearch 서버 "덕분에" 자유롭게 사용할 수 있었습니다.

첫 번째 경우에는 Radario 시스템을 통해 판매되는 다양한 문화 행사(극장, 클럽, 강 여행 등)에 대한 수만(또는 수십만) 티켓입니다(www.radario.ru).

두 번째 경우에는 Sletat.ru 시스템에 연결된 여행사를 통해 투어를 구매한 수천 명(아마도 수만 명)의 여행자 여행에 대한 데이터입니다(www.sletat.ru).

데이터를 공개하도록 허용한 회사의 이름뿐만 아니라 해당 회사가 사건을 인식하는 접근 방식과 이에 대한 후속 반응도 다르다는 점을 즉시 지적하고 싶습니다. 하지만 먼저 할 일이…

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

사례 XNUMX. "라다리오"

06.05.2019년 XNUMX월 XNUMX일 저녁 우리 시스템 Elasticsearch 서버가 무료로 제공된다는 사실을 발견했습니다, 전자 티켓 판매 서비스 Radario 소유.

이미 확립된 슬픈 전통에 따르면, 서버에는 서비스 정보 시스템에 대한 자세한 로그가 포함되어 있으며, 이를 통해 개인 데이터, 사용자 로그인 및 비밀번호는 물론 전국의 다양한 이벤트에 대한 전자 티켓 자체를 얻을 수 있었습니다.

총 로그 볼륨이 1TB를 초과했습니다.

Shodan 검색 엔진에 따르면 해당 서버는 11.03.2019년 06.05.2019월 22일부터 공개적으로 제공되었습니다. 저는 Radario 직원들에게 50년 07.05.2019월 09일 30:XNUMX(MSK)에 알렸고 XNUMX년 XNUMX월 XNUMX일 XNUMX:XNUMX경에 서버를 사용할 수 없게 되었습니다.

로그에는 다음과 같은 특수 링크를 통해 구매한 모든 티켓에 대한 액세스를 제공하는 범용(단일) 인증 토큰이 포함되어 있습니다.

http://radario.ru/internal/tickets/XXXXXXXX/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

http://radario.ru/internal/orders/YYYYYYY/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

문제는 또한 티켓을 계산하기 위해 연속적인 주문 번호 매기기를 사용하고 티켓 번호를 단순 열거한다는 것입니다(XXXXXXXX) 또는 주문(YYYYYYY), 시스템에서 모든 티켓을 얻을 수 있었습니다.

데이터베이스의 관련성을 확인하기 위해 솔직히 가장 저렴한 티켓을 구입했습니다.

나중에 IS 로그의 공개 서버에서 발견했습니다.

http://radario.ru/internal/tickets/11819272/print?access_token==******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

이와 별도로 이미 진행된 이벤트와 아직 계획 중인 이벤트 모두 티켓이 구매 가능하다는 점을 강조하고 싶습니다. 즉, 잠재적인 공격자가 다른 사람의 티켓을 사용하여 계획된 이벤트에 입장할 수 있습니다.

평균적으로 특정 날짜(24.01.2019년 07.05.2019월 25일부터 35년 XNUMX월 XNUMX일까지)에 대한 로그를 포함하는 각 Elasticsearch 인덱스에는 XNUMX~XNUMX개의 티켓이 포함되어 있습니다.

티켓 자체 외에도 색인에는 이 서비스를 통해 이벤트 티켓을 판매하는 Radario 파트너의 개인 계정에 액세스하기 위한 로그인(이메일 주소) 및 텍스트 비밀번호가 포함되어 있습니다.

Content: "ReturnUrl=&UserEmail=***@yandex.ru&UserPassword=***"

전체적으로 500개가 넘는 로그인/비밀번호 쌍이 감지되었습니다. 티켓 판매 통계는 파트너의 개인 계정에서 확인할 수 있습니다.

또한 이전에 구매한 티켓을 반환하기로 결정한 구매자의 이름, 전화번호 및 이메일 주소도 공개되었습니다.

"Content": "{"name":"***","surname":"*** ","middleName":"Евгеньевна ","passportType":1,"passportNumber":"","passportIssueDate":"11-11-2011 11:11:11","passportIssuedBy":"","email":"***@mail.ru","phone":"+799*******","ticketNumbers":["****24848","****948732"],"refundReason":4,"comment":""}"

무작위로 선택한 어느 날, 그러한 기록이 500개 이상 발견되었습니다.

나는 Radario의 기술 이사로부터 경고에 대한 응답을 받았습니다:

저는 Radario의 기술 이사이며 문제를 식별해 주셔서 감사드립니다. 아시다시피, 우리는 Elastic에 대한 액세스를 폐쇄했으며 고객을 위한 티켓 재발행 문제를 해결하고 있습니다.

잠시 후 회사는 공식 성명을 발표했습니다.

Radario 전자 티켓 판매 시스템에서 취약점이 발견되어 즉시 수정되었으며 이로 인해 서비스 고객의 데이터가 유출될 수 있다고 회사의 마케팅 이사 Kirill Malyshev가 Moscow City News Agency에 말했습니다.

“실제로 정기 업데이트와 관련된 시스템 운영상의 취약점을 발견했는데, 발견 후 즉시 수정되었습니다. 취약점으로 인해 특정 조건에서 제XNUMX자의 비우호적인 행동으로 인해 데이터가 유출될 수 있었지만 사건은 기록되지 않았습니다. 현재 모든 결함이 제거되었습니다.”라고 K. Malyshev는 말했습니다.

회사 관계자는 서비스 이용 고객에 대한 사기 가능성을 완전히 배제하기 위해 문제 해결 과정에서 판매된 티켓을 모두 재발행하기로 결정했다고 강조했다.

며칠 후 저는 유출된 링크를 사용하여 데이터의 가용성을 확인했습니다. "노출된" 티켓에 대한 액세스가 실제로 보장되었습니다. 제 생각에는 이것이 데이터 유출 문제를 해결하기 위한 유능하고 전문적인 접근 방식이라고 생각합니다.

사례 XNUMX. "Fly.ru"

15.05.2019년 XNUMX월 XNUMX일 이른 아침 DeviceLock 데이터 침해 인텔리전스 특정 IS의 로그로 공개 Elasticsearch 서버를 식별했습니다.

나중에 서버가 투어 선택 서비스 "Sletat.ru"에 속한다는 것이 확인되었습니다.

색인에서 cbto__0 수천개(중복 포함 11,7천개)의 이메일 주소와 일부 결제 정보(투어 비용), 투어 데이터(언제, 어디서 항공권 세부정보)를 얻을 수 있었습니다. 모든 투어에 포함된 여행자 등) 약 1,8건의 기록:

"full_message": "Получен запрос за создание платежного средства: {"SuccessReturnUrl":"https://sletat.ru/tour/7-1939548394-65996246/buy/?ClaimId=b5e3bf98-2855-400d-a93a-17c54a970155","ErrorReturnUrl":"https://sletat.ru/","PaymentAgentId":15,"DocumentNumber":96629429,"DocumentDisplayNumber":"4451-17993","Amount":36307.0,"PaymentToolType":3,"ExpiryDateUtc":"2020-04-03T00:33:55.217358+03:00","LifecycleType":2,"CustomerEmail":"[email protected]","Description":"","SettingsId":"8759d0dd-da54-45dd-9661-4e852b0a1d89","AdditionalInfo":"{"TourOfficeAdditionalInfo":{"IsAdditionalPayment":false},"BarrelAdditionalInfo":{"Tickets":[{"Passenger":{"FIO":"XXX VIKTORIIA"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX ANDREI"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX Andrei"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false}],"Segments":[{"Flight":"5659","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"LED","DepartureAirport":"LED","DepartureAirportIataCode":"LED","DepartureDate":"2019-04-11T02:45:00","DepartureTime":null,"ArrivalCity":"SHJ","ArrivalAirport":"SHJ","ArrivalAirportIataCode":"SHJ","ArrivalDate":"2019-04-11T09:40:00","ArrivalTime":null,"FareCode":null},{"Flight":"5660","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"SHJ","DepartureAirport":"SHJ","DepartureAirportIataCode":"SHJ","DepartureDate":"2019-04-14T10:45:00","DepartureTime":null,"ArrivalCity":"LED","ArrivalAirport":"LED","ArrivalAirportIataCode":"LED","ArrivalDate":"2019-04-14T15:50:00","ArrivalTime":null,"FareCode":null}]},"Tickets":[{"Passenger":{"FIO":"XXX VIKTORIIA"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX ANDREI"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX Andrei"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false}],"Segments":[{"Flight":"5659","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"LED","DepartureAirport":"LED","DepartureAirportIataCode":"LED","DepartureDate":"2019-04-11T02:45:00","DepartureTime":null,"ArrivalCity":"SHJ","ArrivalAirport":"SHJ","ArrivalAirportIataCode":"SHJ","ArrivalDate":"2019-04-11T09:40:00","ArrivalTime":null,"FareCode":null},{"Flight":"5660","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"SHJ","DepartureAirport":"SHJ","DepartureAirportIataCode":"SHJ","DepartureDate":"2019-04-14T10:45:00","DepartureTime":null,"ArrivalCity":"LED","ArrivalAirport":"LED","ArrivalAirportIataCode":"LED","ArrivalDate":"2019-04-14T15:50:00","ArrivalTime":null,"FareCode":null}]}","FinancialSystemId":9,"Key":"18fe21d1-8c9c-43f3-b11d-6bf884ba6ee0"}"

그건 그렇고, 유료 투어에 대한 링크는 꽤 작동합니다.

이름이 있는 인덱스에서 그레이로그_ 일반 텍스트에는 Sletat.ru 시스템에 연결되어 고객에게 투어를 판매하는 여행사의 로그인 및 비밀번호가 있었습니다.

"full_message": "Tours by request 155213901 added to local cache with key 'user_cache_155213901' at 5/6/2019 4:49:07 PM, rows found 0, sortedPriceLength 215. QueryString: countryId=90&cityFromId=1265&s_nightsMin=6&s_nightsMax=14&stars=403%2c404&minHotelRating=1&currencyAlias=RUB&pageSize=300&pageNumber=1&s_showcase=true&includeOilTaxesAndVisa=0&login=zakaz%40XXX.ru&password=XXX, Referer: , UserAgent: , IP: 94.154.XX.XX."

내 추정에 따르면 수백 개의 로그인/비밀번호 쌍이 표시되었습니다.

포털의 여행사 개인 계정에서 Agent.sletat.ru 여권 번호, 국제 여권, 생년월일, 성명, 전화번호, 이메일 주소를 포함한 고객 데이터를 얻을 수 있었습니다.

15.05.2019년 10월 46일 16:00(MSK)에 Sletat.ru 서비스에 알림을 보냈고 몇 시간 후(XNUMX:XNUMX까지) 무료 액세스에서 사라졌습니다. 나중에 Kommersant의 출판물에 대한 응답으로 서비스 경영진은 언론을 통해 매우 이상한 성명을 발표했습니다.

회사 대표인 Andrei Vershinin은 Sletat.ru가 여러 주요 파트너 여행사에 검색 엔진의 검색어 기록에 대한 액세스 권한을 제공한다고 설명했습니다. 그리고 그는 DeviceLock이 이를 수신했다고 가정했습니다. "그러나 지정된 데이터베이스에는 관광객의 여권 데이터, 여행사 로그인 및 비밀번호, 결제 정보 등이 포함되어 있지 않습니다." Andrei Vershinin은 Sletat.ru가 아직 그러한 심각한 비난에 대한 증거를 받지 못했다고 지적했습니다. “지금 DeviceLock에 연결하려고 합니다. 우리는 이것이 명령이라고 믿습니다. 어떤 사람들은 우리의 급속한 성장을 좋아하지 않는다”고 덧붙였다. "

위에서 볼 수 있듯이 관광객의 로그인, 비밀번호 및 여권 데이터는 꽤 오랫동안 공개 도메인에 있었습니다(적어도 Shodan 검색 엔진에 의해 회사 서버가 처음으로 공개 도메인에 기록된 29.03.2019년 XNUMX월 XNUMX일 이후). 물론 아무도 우리에게 연락하지 않았습니다. 적어도 여행사에 유출 사실을 알리고 비밀번호를 변경하도록 강요했기를 바랍니다.

정보 유출 및 내부자에 대한 소식은 언제나 제 텔레그램 채널에서 확인하실 수 있습니다."정보 유출".

출처 : habr.com