HackerOne-plattformen, som ger säkerhetsforskare möjlighet att informera utvecklare om upptäckta sårbarheter och få belöningar för detta, har drabbats av ett intrång. En av forskarna lyckades få tillgång till en säkerhetsanalytikers konto på HackerOne, som hade möjlighet att se stängda material, inklusive information om sårbarheter som ännu inte åtgärdats. Under plattformens existens har HackerOne betalat ut totalt 23 miljoner dollar till forskare för att ha upptäckt sårbarheter i produkter hos mer än 100 kunder, däribland Twitter, Facebook, Google, Apple, Microsoft, Slack, Pentagon och den amerikanska marinen.
Det är värt att notera att kontointrånget blev möjligt på grund av den mänskliga faktorn. En av forskarna skickade in en begäran om en potentiell sårbarhet i HackerOne. En analytiker på HackerOne försökte under granskningen av begäran återskapa den föreslagna hackningsmetoden, men kunde inte reproducera problemet, och författaren till begäran fick ett svar med en förfrågan om ytterligare detaljer. Under tiden missade analytikern att han av misstag skickade sin session-cookie tillsammans med resultaten av den misslyckade kontrollen. Bland annat gav analytikern exempel på en HTTP-förfrågan utförd med curl, som inkluderade HTTP-rubriker där han glömde att ta bort innehållet i session-cookien.
Forskaren noterade detta misstag och kunde få tillgång till det privilegierade kontot på hackerone.com genom att helt enkelt använda det observerade cookie-värdet utan att behöva genomgå den flerfaktorsautentisering som tillämpas av tjänsten. Attacken blev möjlig eftersom sessionen på hackerone.com inte var kopplad till användarens IP-adress eller webbläsare. Den problematiska session-ID:n togs bort två timmar efter att rapporten om läckan publicerades. För att informera om problemet beslutades det att forskaren skulle få 20 000 dollar.
HackerOne har initierat en granskning för att analysera eventuell uppkomst av liknande Cookie-läckor i det förflutna och för att bedöma potentiella läckor av konfidentiella uppgifter om kundproblem. Granskningen upptäckte inga tecken på läckor i det förflutna och fastställde att forskaren som visade problemet kunde ha fått information om cirka 5% av alla program som presenterades i tjänsten, till vilka analytikern hade tillgång, vars sessionsnyckel hade använts.
För att skydda mot sådana attacker i framtiden har en bindning av sessionsnyckeln implementerats till IP-adress och filtrering av sessionsnycklar och autentiseringstoken i kommentarer. I framtiden planeras bindningen till IP att ersättas med bindning till användarens enheter, eftersom bindning till IP är opraktisk för användare med dynamiskt tilldelade adresser. Det har också beslutats att utöka loggsystemet med information om användartillgång till data och att implementera en modell för granulär åtkomst för analytiker till kunddata.
Källa: opennet.ru
