Het platform HackerOne, dat onderzoekers in staat stelt om ontwikkelaars te informeren over ontdekte kwetsbaarheden en hiervoor beloningen te ontvangen, heeft over zijn eigen hack. Een van de onderzoekers slaagde erin toegang te krijgen tot het account van een security-analist van HackerOne, die de mogelijkheid had om vertrouwelijke materialen te bekijken, inclusief informatie over nog niet verholpen kwetsbaarheden. Gedurende de bestaansgeschiedenis van het platform hebben onderzoekers via HackerOne in totaal 23 miljoen dollar ontvangen voor het ontdekken van kwetsbaarheden in producten van meer dan 100 klanten, waaronder Twitter, Facebook, Google, Apple, Microsoft, Slack, het Pentagon en de Amerikaanse marine.
Opmerkelijk is dat de accountovername mogelijk werd gemaakt door menselijke fouten. Een van de onderzoekers diende een aanvraag in voor een potentiƫle kwetsbaarheid bij HackerOne. De analist van HackerOne probeerde tijdens de beoordeling van de aanvraag de voorgestelde hackmethode te reproduceren, maar kon het probleem niet repliceren, en er werd een antwoord naar de indiener gestuurd met het verzoek om aanvullende details. De analist merkte daarbij niet op dat hij per ongeluk zijn sessie-cookie samen met de resultaten van de mislukte controle had verzonden. Tijdens het gesprek gaf de analist een voorbeeld van een HTTP-verzoek uitgevoerd met de curl-tool, inclusief HTTP-headers, waarin hij vergat de sessie-cookie schoon te maken.
De onderzoeker merkte deze vergissing op en kon toegang krijgen tot het bevoorrechte account op de website hackerone.com door simpelweg de opgemerkte cookie-waarde in te voeren, zonder dat hij de multi-factor-authenticatie die door de service werd toegepast hoefde te doorlopen. De aanval was mogelijk omdat op hackerone.com geen sessiebeveiliging aan IP of gebruiker browser was gekoppeld. De probleemgevende sessie-ID werd twee uur na de publicatie van het lekrapport verwijderd. Voor het rapporteren van het probleem is besloten de onderzoeker 20.000 dollar uit te betalen.
HackerOne heeft een audit in gang gezet om mogelijke eerdere cookie-lekken te analyseren en om potentiƫle lekken van gevoelige informatie over klantproblemen te evalueren. De audit heeft geen feiten van eerdere lekken aan het licht gebracht en heeft vastgesteld dat de onderzoeker die het probleem aan het licht bracht, toegang had tot ongeveer 5% van alle in de service aangeboden programma's, waarvan de analytics-sessie sleutel werd gebruikt.
Om toekomstige aanvallen van dit soort te voorkomen, is er een koppelingsmechanisme van de sessiesleutel met het IP-adres en de filtering van sessiesleutels en authenticatietokens in opmerkingen geĆÆmplementeerd. In de toekomst is het plan om de koppeling aan het IP-adres te vervangen door koppeling aan de apparaten van de gebruiker, aangezien de IP-koppeling ongemakkelijk is voor gebruikers met dynamisch toegewezen adressen. Ook is besloten om het loggingsysteem uit te breiden met informatie over de toegang van gebruikers tot gegevens en om een model van granulaire toegang voor analisten tot klantgegevens te implementeren.
Bron: opennet.ru
