A plataforma HackerOne, que oferece aos pesquisadores de segurança a oportunidade de informar os desenvolvedores sobre vulnerabilidades identificadas e ser recompensados por isso, recebeu sobre sua própria violação. Um dos pesquisadores conseguiu acessar a conta de um analista de segurança da HackerOne, que tinha a capacidade de visualizar materiais confidenciais, incluindo informações sobre vulnerabilidades ainda não corrigidas. Desde a criação da plataforma, um total de 23 milhões de dólares foi pago aos pesquisadores por meio do HackerOne por identificar vulnerabilidades em produtos de mais de 100 clientes, incluindo Twitter, Facebook, Google, Apple, Microsoft, Slack, Pentágono e Marinha dos EUA.
Notavelmente, a captura da conta foi possível devido ao fator humano. Um dos pesquisadores enviou para análise um pedido sobre uma vulnerabilidade potencial no HackerOne. O analista da HackerOne, ao revisar o pedido, tentou reproduzir o método de ataque proposto, mas não conseguiu replicar o problema, e uma resposta foi enviada ao autor do pedido solicitando mais detalhes. No entanto, o analista não percebeu que, junto com os resultados da verificação malsucedida, enviou inadvertidamente o conteúdo do seu cookie de sessão. Em particular, durante o diálogo, o analista forneceu um exemplo de uma solicitação HTTP feita pela ferramenta curl, que incluía cabeçalhos HTTP, dos quais ele se esqueceu de limpar o conteúdo do cookie de sessão.
O pesquisador notou essa falha e conseguiu acessar a conta privilegiada no site hackerone.com, simplesmente inserindo o valor do cookie que havia notado, sem a necessidade de passar pela autenticação multifator aplicada pelo serviço. O ataque foi possível porque o hackerone.com não aplicava a vinculação da sessão ao IP ou ao navegador do usuário. O identificador de sessão problemático foi removido duas horas após a publicação do relatório sobre a violação. Por informar sobre o problema, decidiu-se pagar ao pesquisador 20 mil dólares.
A HackerOne iniciou uma auditoria para analisar a possível ocorrência de vazamentos de Cookies no passado e para avaliar possíveis vazamentos de informações confidenciais sobre os problemas dos clientes do serviço. A auditoria não encontrou evidências de vazamentos no passado e determinou que o pesquisador que demonstrou o problema poderia ter acessado informações de aproximadamente 5% de todos os programas apresentados no serviço, aos quais foi concedido acesso ao analista, cujo chave de sessão foi utilizada.
Para proteger contra ataques semelhantes no futuro, foi implementado o vínculo da chave de sessão ao endereço IP e filtragem de chaves de sessão e tokens de autenticação em comentários. No futuro, o vínculo ao IP será substituído por um vínculo aos dispositivos dos usuários, já que a vinculação ao IP é inconveniente para usuários com endereços dinâmicos. Também foi decidido expandir o sistema de logs com informações sobre o acesso dos usuários aos dados e implementar um modelo de acesso granular dos analistas aos dados dos clientes.
Fonte: opennet.ru
